pyLoad: Un stockage non protégé (storage_folder) permet une écriture de fichier arbitraire dans le magasin de session Flask et une exécution de code (correction incomplète pour CVE-2026-33509)

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter cette faille en créant un fichier pickle malveillant dans le répertoire de stockage de session Flask, puis en incitant un utilisateur à accéder à une requête HTTP avec le cookie de session correspondant. Cela permet l'exécution de code arbitraire sur le serveur, potentiellement compromettant l'ensemble du système. La capacité de rediriger des téléchargements et d'injecter du code malveillant dans le processus pyload-ng représente un risque majeur pour la sécurité des données et de l'infrastructure.

Organizations and individuals utilizing pyload-ng for download management, particularly those with multiple users and less stringent access controls, are at risk. Shared hosting environments where multiple users share the same pyload-ng instance are especially vulnerable, as an attacker could potentially compromise the entire environment through a single user account.

• python / server:

import os
import pickle

# Check for unusual files in the Flask session directory
session_dir = '/path/to/your/pyload-ng/flask_session'
for filename in os.listdir(session_dir):
    if filename.endswith('.pkl'):
        print(f"Suspicious pickle file found: {session_dir}/{filename}")

• python / server:

# Monitor for unusual processes accessing the Flask session directory
ps aux | grep 'pickle' | grep '/path/to/your/pyload-ng/flask_session'

1. 2026-04-04Disclosure

   disclosure

1. Réservé2026-04-02
2. Publiée2026-04-04
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-15

La mitigation principale consiste à mettre à jour pyload-ng vers la version 0.5.0b3.dev96 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les permissions des utilisateurs et en surveillant attentivement les fichiers de session Flask. Il est également recommandé de désactiver temporairement l'option storage_folder si elle n'est pas essentielle au fonctionnement du système. Une analyse des journaux d'accès et d'erreurs peut aider à détecter les tentatives d'exploitation.