🇰🇷 한글 설명
pyLoad의 보안 설정(ADMIN_ONLY_OPTIONS)에서 storage_folder 옵션이 누락되어, SETTINGS와 ADD 권한을 가진 비관리자가 다운로드 경로를 Flask 세션 디렉토리로 변경할 수 있습니다. 공격자는 예측 가능한 세션 파일에 악성 pickle 페이로드를 심어 HTTP 요청 시 임의 코드를 실행합니다.
💡 쉬운 설명
pyLoad에서 일반 사용자가 파일 저장 폴더를 변경할 수 있는 보안 허점이 있습니다. 공격자가 이를 악용해 악성 코드를 몰래 심고 실행할 수 있습니다.
🇺🇸 원문 (English)
pyLoad is a free and open-source download manager written in Python. The fix for CVE-2026-33509 added an ADMIN_ONLY_OPTIONS set to block non-admin users from modifying security-critical config options. The storage_folder option is not in this set and passes the existing path restriction because the Flask session directory is outside both PKGDIR and userdir. A user with SETTINGS and ADD permissions can redirect downloads to the Flask filesystem session store, plant a malicious pickle payload as a predictable session file, and trigger arbitrary code execution when any HTTP request arrives with the corresponding session cookie. This vulnerability is fixed with commit c4cf995a2803bdbe388addfc2b0f323277efc0e1.
📍 영향받는 시스템
pyLoad (commit c4cf995a2803bdbe388addfc2b0f323277efc0e1 이전 모든 버전)
⚔️ 공격 벡터
SETTINGS/ADD 권한 사용자가 storage_folder를 Flask 세션 디렉토리로 리다이렉트 후 pickle 페이로드 주입
🛡️ 대응 방법
pyLoad를 commit c4cf995a2803bdbe388addfc2b0f323277efc0e1 이상 버전으로 업데이트하고 storage_folder를 ADMIN_ONLY_OPTIONS에 추가
🔧 검증 코드
Version이 패치 적용 날짜 이후인지 확인하고, 미설치 시 즉시 설치 필요
pip show pyload 2>/dev/null | grep Version || echo 'not installed'