🇰🇷 한글 설명
pyLoad의 CNL Blueprint에서 jk 파라미터에 대한 검증이 부족하여 사용자 입력이 dykpy.evaljs()에 직접 전달됩니다. 이로 인해 서버 CPU가 100% 점유되어 웹 UI가 응답하지 않는 서비스 거부 상태가 발생합니다. 0.5.0b3.dev92에서 수정되었습니다.
💡 쉬운 설명
pyLoad에서 특정 파라미터를 조작하면 서버가 먹통이 되는 문제입니다. 누구나 파라미터를 보내기만 해도 다른 사용자들이 서비스를 사용할 수 없게 됩니다.
🇺🇸 원문 (English)
pyLoad is the free and open-source Download Manager written in pure Python. The jk parameter is received in pyLoad CNL Blueprint. Due to the lack of jk parameter verification, the jk parameter input by the user is directly determined as dykpy.evaljs(), resulting in the server CPU being fully occupied and the web-ui becoming unresponsive. This vulnerability is fixed in 0.5.0b3.dev92.
📍 영향받는 시스템
pyLoad 0.5.0b3.dev92 이전 버전 (오픈소스 파이썬 다운로드 관리자)
⚔️ 공격 벡터
CNL Blueprint의 jk 파라미터에 특정 입력값을 전송하여 원격으로 서버 CPU를 100% 점유시키는 방식
🛡️ 대응 방법
pyLoad를 0.5.0b3.dev92 이상 버전으로 업그레이드
🔧 검증 코드
Version이 0.5.0b3.dev92 이상이면 패치됨, 그 이하면 업그레이드 필요
pip show pyload-ng 2>/dev/null | grep Version || echo 'pyLoad not installed'