`pyLoad` présente une vulnérabilité de Traversal de Chemin dans l'Endpoint `json/upload` qui permet l'Écriture Arbitraire de Fichiers

Cette vulnérabilité permet à un attaquant d'exploiter le mécanisme de téléchargement de fichiers pour écrire des fichiers en dehors du répertoire prévu. En modifiant le nom de fichier téléchargé, il est possible de contourner les contrôles de sécurité et d'écrire des fichiers dans des emplacements arbitraires accessibles au processus pyLoad. Les conséquences potentielles sont graves : un attaquant pourrait exécuter du code à distance (RCE), obtenir une escalade de privilèges, compromettre l'ensemble du système, et établir une persistance via des backdoors. L'impact est amplifié si pyLoad-ng est exécuté avec des privilèges élevés ou si le système est utilisé pour stocker des données sensibles.

Organizations running pyLoad-ng in production environments, particularly those with limited access controls or inadequate input validation, are at risk. Shared hosting environments where multiple users share the same pyLoad instance are particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability and impact other users.

• python / server: Monitor pyLoad logs for file creation events in unexpected directories. Use journalctl -u pyload to filter for upload-related messages.

journalctl -u pyload | grep "upload" | grep ".."

• linux / server: Use lsof to identify processes accessing files outside of the intended upload directory.

lsof | grep pyload | grep "/path/to/uploads/../"

• generic web: Check access logs for requests to /json/upload with filenames containing directory traversal sequences (e.g., ../../../../etc/passwd).

grep "/json/upload.*\.\.\/\.\.\/" /var/log/apache2/access.log

1. 2025-07-21Disclosure

   disclosure

1. Réservé2025-07-16
2. Publiée2025-07-21
3. Modifiée2025-07-23
4. EPSS mis à jour2026-03-23

La solution principale est de mettre à jour pyLoad-ng vers la version 0.5.0b3.dev90 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une mesure temporaire consiste à restreindre les autorisations du processus pyLoad pour limiter l'accès à l'écriture sur le système. Il est également recommandé de mettre en place une surveillance accrue des téléchargements de fichiers et d'utiliser un pare-feu applicatif web (WAF) pour bloquer les requêtes suspectes contenant des séquences de traversal de chemin (par exemple, ../). Enfin, examinez les journaux d'accès et d'erreurs pour détecter toute tentative d'exploitation de cette vulnérabilité.