pyLoad: Improper Neutralization of Special Elements used in an OS Command

Die CVE-2026-35463-Schwachstelle in pyLoad betrifft Versionen 0.5.0b3.dev96 und früher. Obwohl pyLoad einen 'ADMINONLYOPTIONS'-Schutz implementiert, um den Zugriff auf sensible Konfigurationen wie Reconnect-Skripte, SSL-Zertifikate und Proxy-Anmeldeinformationen einzuschränken, gilt dieser Schutz nicht für Plugin-Konfigurationsoptionen. Das AntiVirus-Plugin speichert einen ausführbaren Pfad (avfile) in seiner Konfiguration, der direkt an subprocess.Popen() übergeben wird. Ein nicht-Administrator-Benutzer könnte diese Schwachstelle ausnutzen, um beliebigen Code auf dem System auszuführen, wodurch die Sicherheit des Servers, auf dem pyLoad ausgeführt wird, gefährdet wird. Die Ausführung von beliebigem Code könnte unbefugten Zugriff auf Daten, Dateimodifikationen und die Übernahme des Systems ermöglichen.

Organizations using pyLoad as a download manager, particularly those with multiple users and granular permission settings, are at risk. Shared hosting environments where users have access to plugin configuration files are especially vulnerable. Legacy pyLoad installations running the affected versions are also at increased risk.

• python / process monitoring: Monitor pyLoad processes for unexpected child processes.

Get-Process pyLoad -ErrorAction SilentlyContinue | Select-Object -ExpandProperty ProcessName

• python / file integrity monitoring: Monitor the AntiVirus plugin's configuration file for unexpected changes to the avfile path.

import hashlib
expected_hash = 'your_expected_hash_here'
with open('path/to/plugin/config.ini', 'rb') as f:
    current_hash = hashlib.md5(f.read()).hexdigest()
if current_hash != expected_hash:
    print('Configuration file modified!')

• generic web: Monitor pyLoad's web interface logs for suspicious activity related to plugin configuration changes.

1. 2026-04-07Disclosure

   disclosure

1. Reserviert2026-04-02
2. Veröffentlicht2026-04-07
3. Geändert2026-04-08
4. EPSS aktualisiert2026-04-15

Es gibt derzeit keine offizielle Lösung (Fix) für diese Schwachstelle. Die effektivste Abmilderung ist die Aktualisierung auf eine pyLoad-Version, die neuer als 0.5.0b3.dev96 ist, sobald sie verfügbar ist. In der Zwischenzeit wird empfohlen, das AntiVirus-Plugin zu deaktivieren oder, falls unbedingt erforderlich, den Zugriff des nicht-Administrator-Benutzers auf die pyLoad-Konfiguration stark einzuschränken. Die Überwachung der Systemaktivität und Sicherheitswarnungen kann dazu beitragen, potenzielle Ausnutzungsversuche zu erkennen. Darüber hinaus wird empfohlen, die Konfiguration aller Plugins zu überprüfen und zu prüfen, um ähnliche potenzielle Schwachstellen zu identifizieren.