Los manejadores CNL y captcha de pyLoad permiten la Inyección de Código a través de parámetros no sanitizados

Un atacante puede explotar esta vulnerabilidad inyectando código JavaScript malicioso a través de parámetros en las solicitudes HTTP. Este código se ejecutaría en el navegador de la víctima al acceder a la interfaz web de pyLoad, permitiendo al atacante robar cookies de sesión, redirigir al usuario a sitios web maliciosos o modificar el contenido de la página web. La inyección de código podría comprometer la confidencialidad e integridad de la información manejada por pyLoad, así como la seguridad del sistema donde se ejecuta. La falta de sanitización de la entrada permite la manipulación del manejo de solicitudes y la inyección de contenido arbitrario en la interfaz de usuario.

Organizations utilizing pyLoad-ng for download management and those with publicly accessible instances are at risk. Specifically, deployments using older versions (≤0.5.0b3.dev90) and those with limited input validation practices are particularly vulnerable. Shared hosting environments where multiple users share the same pyLoad-ng instance are also at increased risk.

• python: Monitor pyLoad-ng logs for unusual HTTP requests containing suspicious characters or patterns commonly associated with XSS attacks (e.g., <script>, <iframe>, javascript:). • generic web: Use curl or wget to test the Captcha script endpoint and Click'N'Load Blueprint with various payloads containing XSS patterns. Examine the response for signs of code execution.

curl -X POST -d '<script>alert("XSS")</script>' https://your-pyload-ng-instance/captcha

• generic web: Inspect access and error logs for requests containing XSS payloads or resulting in errors related to script execution. • generic web: Check response headers for unexpected content or modifications that could indicate XSS activity.

1. 2025-10-09Disclosure

   disclosure

1. Reservado2025-09-30
2. Publicada2025-10-09
3. Modificada2025-10-13
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar pyLoad a la versión 0.5.0b3.dev91, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Aunque no es una solución completa, se puede considerar la implementación de un Web Application Firewall (WAF) con reglas para filtrar solicitudes HTTP que contengan patrones sospechosos de inyección de código. Además, se debe revisar y fortalecer la validación de todas las entradas de usuario en la interfaz web de pyLoad para prevenir futuras vulnerabilidades de este tipo. Después de la actualización, confirme la corrección revisando los logs de la aplicación en busca de intentos de inyección de código.