pyLoad PARAMÈTRES Les utilisateurs disposant des autorisations peuvent obtenir une exécution de code à distance via la configuration non restreinte du script de reconnexion

L'impact de cette vulnérabilité est critique. Un attaquant, en obtenant la permission SETTINGS (qui peut être plus facile à obtenir qu'un accès administrateur), peut modifier la valeur de reconnect.script pour pointer vers un fichier exécutable malveillant. Lorsque pyload-ng tente de se reconnecter, il exécutera ce fichier, donnant à l'attaquant un contrôle total sur le système. Cette exécution se fait via subprocess.run(), ce qui signifie que l'attaquant peut potentiellement exécuter n'importe quel code avec les privilèges de l'utilisateur pyload-ng. Le risque de compromission du système est élevé, et la propagation potentielle pourrait affecter d'autres services en fonction de la configuration du serveur.

Organizations and individuals using pyload-ng for download management, particularly those with multiple users or shared hosting environments, are at risk. Systems where the SETTINGS permission has been granted to non-administrative users are especially vulnerable. Legacy configurations that haven't been regularly updated are also at increased risk.

• linux / server:

journalctl -u pyload-ng | grep -i "reconnect.script"

• python / supply-chain:

import os
config_path = os.path.expanduser('~/.config/pyload-ng/config.json')
with open(config_path, 'r') as f:
    config = json.load(f)
    if 'reconnect' in config and 'script' in config['reconnect']:
        print(f"Potential vulnerability: reconnect.script set to {config['reconnect']['script']}")

• generic web: Use curl or wget to check for the existence of the /api/v1/settings/setconfigvalue endpoint. Examine the response headers for any unusual or unexpected content.

1. 2026-03-20Disclosure

   disclosure

1. Réservé2026-03-20
2. Publiée2026-03-20
3. Modifiée2026-03-27
4. EPSS mis à jour2026-04-01

La mitigation immédiate consiste à mettre à niveau pyload-ng vers la version 0.5.0b3.dev97 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas immédiatement possible, une solution de contournement consiste à restreindre l'accès à l'API setconfigvalue() aux seuls utilisateurs administrateurs. Il est également possible de configurer un pare-feu applicatif web (WAF) pour bloquer les requêtes modifiant la configuration reconnect.script. En outre, surveillez les journaux d'accès et d'erreurs pour détecter toute tentative de modification non autorisée de la configuration. Après la mise à niveau, vérifiez que la configuration reconnect.script est correctement définie et qu'elle ne pointe pas vers un fichier exécutable non autorisé.