| Title | pyLoad-ng projectのpyLoad-ngにおける複数の脆弱性 |
|---|---|
| Summary | pyLoadはPythonで書かれた無料のオープンソースのダウンロードマネージャーです。0.5.0b3.dev100以前のバージョンでは、管理者専用の設定項目を隠す許可リストに不備があったため、非管理者ユーザーがプロキシ設定を変更して任意のホストを経由させることが可能でした。これにより、すべてのアウトバウンド通信が攻撃者を経由してルーティングされるリスクがありました。この問題は0.5.0b3.dev100で修正されています。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 11, 2026, midnight |
| Registration Date | May 18, 2026, 11:30 a.m. |
| Last Update | May 18, 2026, 11:30 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.3 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L |
| pyLoad-ng project |
| pyLoad-ng 0.5.0b3.dev100 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月18日] 掲載 |
May 18, 2026, 11:30 a.m. |
| Summary | pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, the set_config_value() API method (@permission(Perms.SETTINGS)) in src/pyload/core/api/__init__.py gates security-sensitive options behind a hand-maintained allowlist ADMIN_ONLY_CORE_OPTIONS. The allowlist contains ("proxy", "username") and ("proxy", "password") — which protect the proxy credentials — but it does not include ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port"), or ("proxy", "type"). Any authenticated user with the non-admin SETTINGS permission can enable proxying and point pyload at any host they control. From that point, every outbound download, captcha fetch, update check, and plugin HTTP call is transparently routed through the attacker. This is a direct continuation of the fix family CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586, each of which patched a different missed option in the same allowlist. This vulnerability is fixed in 0.5.0b3.dev100. |
|---|---|
| Publication Date | May 12, 2026, 3:16 a.m. |
| Registration Date | May 12, 2026, 4:14 a.m. |
| Last Update | May 15, 2026, 11:04 p.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:pyload-ng_project:pyload-ng:*:*:*:*:*:python:*:* | 0.5.0b3.dev100 | ||||