Plattform
python
Komponente
pyload-ng
Behoben in
0.5.1
0.5.1
CVE-2026-33992 describes a Server-Side Request Forgery (SSRF) vulnerability within the download engine of pyload-ng. This flaw allows authenticated attackers to leverage the application to access internal network resources and potentially exfiltrate sensitive data. The vulnerability affects versions of pyload-ng up to and including 0.5.0b3.dev96, with a fix available in version 0.5.0b3.dev97.
CVE-2026-33992 in PyLoad ermöglicht einem authentifizierten Angreifer, Server-Side Request Forgery (SSRF)-Angriffe durchzuführen. Dies liegt daran, dass PyLoads Download-Engine beliebige URLs ohne ordnungsgemäße Validierung akzeptiert. Ein Angreifer kann dies nutzen, um auf interne Netzwerkdienste zuzugreifen und Cloud-Provider-Metadaten zu extrahieren. Insbesondere bei DigitalOcean-Droplets legt diese Schwachstelle sensible Infrastrukturdaten offen, einschließlich der Droplet-ID, der Netzwerkkonfiguration, der Region, der Authentifizierungsschlüssel und der SSH-Schlüssel, die in user-data/cloud-init konfiguriert sind. Der CVSS-Score von 9,5 deutet auf eine kritische Schwere hin, was bedeutet, dass eine erfolgreiche Ausnutzung erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit betroffener Systeme haben könnte.
Ein Angreifer mit authentifiziertem Zugriff auf PyLoad kann diese Schwachstelle ausnutzen, indem er bösartige Anfragen sendet, die interne oder externe URLs enthalten. PyLoads Download-Engine, die keine ordnungsgemäße Validierung durchführt, verarbeitet diese Anfragen und kann potenziell sensible Informationen preisgeben oder nicht autorisierte Ressourcen zugreifen. Im Falle von DigitalOcean-Droplets könnte ein Angreifer diese Schwachstelle nutzen, um SSH-Schlüssel zu erhalten und das Droplet zu kompromittieren. Die einfache Ausnutzbarkeit und das hohe potenzielle Risiko machen diese Schwachstelle zu einem erheblichen Problem für PyLoad-Benutzer.
Organizations and individuals deploying pyload-ng, particularly those hosted on cloud platforms like DigitalOcean, are at significant risk. Legacy configurations with default credentials or weak authentication mechanisms are especially vulnerable. Shared hosting environments where multiple users share the same pyload-ng instance also face increased exposure.
• python / server:
import requests
import re
# Check for suspicious outbound requests in pyload-ng logs
# Look for requests to internal IP addresses or cloud metadata endpoints
with open('/path/to/pyload-ng/logs/download.log', 'r') as f:
for line in f:
if re.search(r'https?://10\.\d+\.\d+\.\d+', line) or re.search(r'https?://169\.254\.\d+\.\d+', line):
print(f'Potential SSRF detected: {line}')• generic web:
curl -I <pyload-ng_api_endpoint>/api/addPackage?url=http://169.254.169.254/latest/meta-data/ # Check for response indicating metadata accessdisclosure
Exploit-Status
EPSS
0.06% (20% Perzentil)
CISA SSVC
Die Lösung für diese Schwachstelle besteht darin, PyLoad auf Version 0.5.0b3.dev97 oder höher zu aktualisieren. Diese Version behebt den Mangel an URL-Validierung im Download-Engine und mindert so das Risiko von SSRF-Angriffen. Es wird dringend empfohlen, dieses Update so schnell wie möglich anzuwenden, um PyLoad-Systeme vor potenziellen Angriffen zu schützen. Überprüfen Sie außerdem die Netzwerkkonfigurationen und Sicherheitsrichtlinien, um sicherzustellen, dass nur der erforderliche Zugriff auf interne Dienste gewährt wird. Die Überwachung der PyLoad-Protokolle auf verdächtige Aktivitäten kann ebenfalls dazu beitragen, potenzielle Ausnutzungsversuche zu erkennen und darauf zu reagieren.
Actualice pyLoad a la versión 0.5.0b3.dev97 o superior. Esta versión contiene una corrección para la vulnerabilidad SSRF que permite la exfiltración de metadatos de la nube. La actualización evitará que atacantes autenticados accedan a servicios internos de la red y exfiltren datos confidenciales.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Ein SSRF-Angriff (Server-Side Request Forgery) tritt auf, wenn ein Angreifer einen Server dazu bringen kann, Anfragen an Ressourcen zu senden, auf die der Server keinen Zugriff haben sollte, weder intern noch extern.
Bei DigitalOcean-Droplets ermöglicht die Schwachstelle einem Angreifer den Zugriff auf sensible Informationen wie die Droplet-ID, die Netzwerkkonfiguration, SSH-Schlüssel und andere Anmeldeinformationen, die in user-data/cloud-init gespeichert sind.
Wenn Sie PyLoad nicht sofort aktualisieren können, sollten Sie Abhilfemaßnahmen ergreifen, z. B. den Zugriff auf PyLoad einschränken und die Protokolle auf verdächtige Aktivitäten überwachen.
Derzeit gibt es keine speziellen Tools, um diese Schwachstelle zu erkennen, aber es wird empfohlen, Penetrationstests und Sicherheitsaudits durchzuführen, um potenzielle Schwachstellen zu identifizieren.
Sie finden weitere Informationen zur Schwachstelle CVE-2026-33992 in Sicherheitsquellen und im PyLoad-Repository.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Lade deine requirements.txt-Datei hoch und wir sagen dir sofort, ob du betroffen bist.