🇰🇷 한글 설명
pyLoad의 set_config_value() API 메서드에서 보안 민감 설정의 허용목록이 불완전하여 인증된 사용자가 프록시 설정(enabled, host, port, type)을 변경할 수 있음. 공격자는 이를 악용하여 모든 다운로드와 HTTP 통신을 자신의 호스트로 우회시킬 수 있음. 버전 0.5.0b3.dev100에서 패치됨.
💡 쉬운 설명
pyLoad에서 일부 보안 설정이 제대로 보호되지 않아 권한 있는 사용자가 프록시를 변경할 수 있음. 공격자는 이를 이용해 다운로드를 자신의 서버로 우회시킬 수 있음.
🇺🇸 원문 (English)
pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, the set_config_value() API method (@permission(Perms.SETTINGS)) in src/pyload/core/api/__init__.py gates security-sensitive options behind a hand-maintained allowlist ADMIN_ONLY_CORE_OPTIONS. The allowlist contains ("proxy", "username") and ("proxy", "password") — which protect the proxy credentials — but it does not include ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port"), or ("proxy", "type"). Any authenticated user with the non-admin SETTINGS permission can enable proxying and point pyload at any host they control. From that point, every outbound download, captcha fetch, update check, and plugin HTTP call is transparently routed through the attacker. This is a direct continuation of the fix family CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586, each of which patched a different missed option in the same allowlist. This vulnerability is fixed in 0.5.0b3.dev100.
📍 영향받는 시스템
pyLoad < 0.5.0b3.dev100
⚔️ 공격 벡터
SETTINGS 권한을 가진 인증된 사용자가 proxy 설정 옵션(enabled, host, port, type)을 조작하여 트래픽을 공격자 제어 호스트로 우회.
🛡️ 대응 방법
pyLoad를 0.5.0b3.dev100 이상으로 업그레이드.
🔧 검증 코드
Version 항목이 0.5.0b3.dev100 이상이면 패치됨. 미설치면 'pip install pyload' 실행.
pip show pyload 2>/dev/null | grep Version