🇰🇷 한글 설명
pyLoad의 CAPTCHA 처리 코드에서 JavaScript 평가 취약점으로 인해 인증 없이 원격 공격자가 클라이언트 브라우저와 백엔드 서버에서 임의의 코드를 실행할 수 있습니다. 이를 통해 세션 하이재킹, 자격증명 도용, 시스템 전체 제어가 가능합니다.
💡 쉬운 설명
pyLoad 다운로드 프로그램의 스팸 방지(CAPTCHA) 처리 부분에 결함이 있어 악의적인 명령을 실행할 수 있습니다. 로그인이 필요 없으며 누구나 공격할 수 있습니다.
🇺🇸 원문 (English)
pyload is an open-source Download Manager written in pure Python. An unsafe JavaScript evaluation vulnerability in pyLoad’s CAPTCHA processing code allows unauthenticated remote attackers to execute arbitrary code in the client browser and potentially the backend server. Exploitation requires no user interaction or authentication and can result in session hijacking, credential theft, and full system remote code execution. Commit 909e5c97885237530d1264cfceb5555870eb9546, the patch for the issue, is included in version 0.5.0b3.dev89.
📍 영향받는 시스템
pyLoad 0.5.0b3.dev89 이전의 모든 버전
⚔️ 공격 벡터
인증 없이 CAPTCHA 처리 코드의 unsafe JavaScript 평가 기능을 악용하여 임의의 코드 실행
🛡️ 대응 방법
pyLoad를 0.5.0b3.dev89 이상으로 업그레이드하거나 commit 909e5c97885237530d1264cfceb5555870eb9546의 패치 적용
🔧 검증 코드
표시된 버전이 0.5.0b3.dev89 미만이면 취약하며 즉시 업그레이드가 필요합니다.
pip show pyload 2>/dev/null | grep Version || pip show pyload-ng 2>/dev/null | grep Version