CVE-2026-33314: SSRF en pyLoad-ng ≤0.5.0b3.dev96

La vulnerabilidad de Host Header Spoofing en pyLoad-ng permite a un atacante eludir las restricciones de acceso local a la API Click'N'Load. Al manipular el encabezado Host, el atacante puede engañar al servidor para que procese solicitudes como si provinieran de una fuente autorizada. Esto abre la puerta a la ejecución de ataques SSRF, donde el atacante puede forzar al servidor a realizar solicitudes a recursos internos o externos no autorizados. Además, el atacante podría abusar de esta vulnerabilidad para lanzar ataques de Denegación de Servicio (DoS) al sobrecargar el servidor con solicitudes maliciosas. El impacto potencial incluye la exposición de datos sensibles, la manipulación de la configuración del servidor y la interrupción del servicio.

Organizations and individuals utilizing pyLoad-ng for download management, particularly those running instances accessible from external networks, are at risk. Shared hosting environments where pyLoad-ng is installed alongside other applications are also vulnerable, as a successful exploit could potentially compromise other services on the same server.

• python / server:

import requests
import re

def check_pyload_version(url):
    try:
        response = requests.get(f'{url}/api/version')
        response.raise_for_status()
        version = response.json().get('version', 'unknown')
        if re.match(r'^0\.5\.0b3\.dev[0-9]+$', version):
            return True
        return False
    except requests.exceptions.RequestException:
        return False

# Example usage
url = 'http://your-pyload-instance' # Replace with your pyload instance URL
if check_pyload_version(url):
    print('Vulnerable version detected!')
else:
    print('Version is likely patched.')

• generic web:

curl -I http://your-pyload-instance/api/ | grep Host

1. 2026-03-19Disclosure

   disclosure

2. 2026-03-19Patch

   patch

1. Reservado2026-03-18
2. Publicada2026-03-19
3. Modificada2026-03-27
4. EPSS actualizado2026-04-01

La mitigación principal para esta vulnerabilidad es actualizar a la versión parcheada de pyLoad-ng, 0.5.0b3.dev97. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales. Estas medidas pueden incluir la configuración de un firewall de aplicaciones web (WAF) para filtrar solicitudes maliciosas basadas en el encabezado Host. También se puede considerar la implementación de reglas de proxy para restringir el acceso a la API Click'N'Load solo a fuentes autorizadas. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el encabezado Host ya no se puede manipular para eludir las restricciones locales.