pyLoad : Contournement du filtre SSRF via une redirection HTTP dans BaseDownloader (Correction incomplète pour CVE-2026-33992)

La vulnérabilité CVE-2026-35459 dans pyload permet à un utilisateur authentifié disposant des permissions ADD de contourner la mitigation SSRF (Server-Side Request Forgery) mise en œuvre pour corriger CVE-2026-33992. La correction précédente introduisait une validation IP dans BaseDownloader.download() pour vérifier le nom d'hôte de l'URL de téléchargement initiale. Cependant, pycurl est configuré avec FOLLOWLOCATION=1 et MAXREDIRS=10, ce qui lui permet de suivre automatiquement les redirections HTTP. Le problème réside dans le fait que les URL de destination de ces redirections ne sont pas validées par rapport au filtre SSRF, ce qui permet d'accéder à des ressources internes.

Organizations using pyload-ng for download management, particularly those with internal services accessible from the network, are at risk. Shared hosting environments where multiple users have ADD permissions within pyload-ng are especially vulnerable, as a compromised user account could be leveraged to exploit this SSRF vulnerability.

• python / server:

import requests
import urllib.parse

def check_redirects(url):
    try:
        response = requests.get(url, allow_redirects=True, timeout=5)
        print(f"Final URL: {response.url}")
        return True  # Redirects followed
    except requests.exceptions.RequestException as e:
        print(f"Error: {e}")
        return False

# Example usage (replace with pyload-ng specific URLs)
url_to_check = "http://example.com/redirect?url=http://127.0.0.1:8000/internal/resource"
check_redirects(url_to_check)

• generic web:

curl -I 'http://your-pyload-ng-instance/your-endpoint?url=http://internal-ip/sensitive-resource' | grep 'Location:'

1. 2026-04-04Disclosure

   disclosure

1. Réservé2026-04-02
2. Publiée2026-04-04
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-14

Actuellement, il n'existe pas de correctif (fix) officiel pour CVE-2026-35459. La mitigation recommandée est de désactiver les redirections HTTP dans la configuration de pycurl en définissant FOLLOWLOCATION=0. Alternativement, une validation supplémentaire de l'URL de destination des redirections peut être mise en œuvre dans la fonction BaseDownloader.download() afin de garantir qu'elle correspond au domaine attendu. Il est crucial d'appliquer cette mitigation le plus rapidement possible afin de réduire le risque d'exploitation. Surveillez les mises à jour de sécurité de pyload pour obtenir une solution officielle.