pyLoad: Eliminación Arbitraria de Archivos a través de Path Traversal durante la Verificación de Contraseña de 7z Encriptado

Un atacante podría explotar esta vulnerabilidad para eliminar archivos críticos del sistema o de la aplicación, comprometiendo la integridad y la disponibilidad del sistema. El ataque se basa en la manipulación del nombre de la entrada del archivo durante la verificación de la contraseña de un archivo 7z encriptado. pyLoad no valida adecuadamente este nombre, permitiendo al atacante construir una ruta de archivo que apunte fuera del directorio de extracción previsto. Esto podría resultar en la eliminación de archivos sensibles o incluso en la denegación de servicio al eliminar archivos esenciales para el funcionamiento del sistema. La falta de validación de entrada es un error común que puede llevar a este tipo de vulnerabilidades.

Users who rely on pyLoad for downloading files and are running versions prior to 0.5.0b3.dev97 are at risk. This includes individuals and organizations using pyLoad in automated download scripts or as part of their workflow. Shared hosting environments where multiple users share the same pyLoad installation are particularly vulnerable, as a compromised archive could affect all users on the system.

• linux / server:

find / -type f -name '*.7z' -mtime +7 -print # Identify old 7z archives
journalctl -u pylload -f | grep -i "password verification" # Monitor password verification logs

• python:

import os
import hashlib
# Check for unusual file paths during password verification
# (This requires code analysis of the pyLoad source code)

• generic web: Inspect web server access logs for requests containing unusual file paths or attempts to access 7z archives from untrusted sources.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-16
2. Publicada2026-03-20
3. Modificada2026-03-25
4. EPSS actualizado2026-03-27

La mitigación principal para CVE-2026-32808 es actualizar pyLoad a la versión 0.5.0b3.dev97 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir los permisos de acceso al directorio de extracción y monitorear la actividad del sistema en busca de intentos de acceso no autorizados. Además, se puede considerar la implementación de un sistema de detección de intrusiones (IDS) que pueda identificar patrones de ataque relacionados con el recorrido de ruta. Después de la actualización, confirme la corrección verificando que la validación de la ruta de archivo se realiza correctamente durante la verificación de la contraseña de los archivos 7z.