pyLoad: Los usuarios con permisos SETTINGS pueden lograr la ejecución remota de código a través de la configuración no restringida del script de reconexión

Esta vulnerabilidad permite a un atacante con privilegios 'SETTINGS' ejecutar comandos arbitrarios en el servidor pyload-ng. El atacante puede modificar la opción 'reconnect.script' para apuntar a un archivo ejecutable malicioso, que se ejecutará cada vez que el agente de reconexión intente restablecer la conexión. Esto podría resultar en la toma de control completa del sistema, robo de datos confidenciales, o la instalación de malware. La falta de validación en la API setconfigvalue() hace que esta vulnerabilidad sea particularmente grave, ya que permite la modificación de prácticamente cualquier configuración sin restricciones.

Organizations and individuals using pyload-ng for download management, particularly those with multiple users or shared hosting environments, are at risk. Systems where the SETTINGS permission has been granted to non-administrative users are especially vulnerable. Legacy configurations that haven't been regularly updated are also at increased risk.

• linux / server:

journalctl -u pyload-ng | grep -i "reconnect.script"

• python / supply-chain:

import os
config_path = os.path.expanduser('~/.config/pyload-ng/config.json')
with open(config_path, 'r') as f:
    config = json.load(f)
    if 'reconnect' in config and 'script' in config['reconnect']:
        print(f"Potential vulnerability: reconnect.script set to {config['reconnect']['script']}")

• generic web: Use curl or wget to check for the existence of the /api/v1/settings/setconfigvalue endpoint. Examine the response headers for any unusual or unexpected content.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-03-20
3. Modificada2026-03-27
4. EPSS actualizado2026-04-01

La mitigación principal es actualizar a la versión 0.5.0b3.dev97, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso al endpoint setconfigvalue() solo a usuarios administradores. Además, se puede implementar un sistema de control de acceso más granular para limitar los permisos de los usuarios con el rol 'SETTINGS'. Monitorear los archivos de configuración de pyload-ng en busca de modificaciones inesperadas también puede ayudar a detectar un ataque en curso. Si se sospecha de una intrusión, se recomienda aislar el sistema afectado y realizar un análisis forense.