pyLoad SETTINGS अनुमति वाले उपयोगकर्ता असीमित रीकनेक्ट स्क्रिप्ट कॉन्फ़िगरेशन के माध्यम से रिमोट कोड एग्जीक्यूशन प्राप्त कर सकते हैं

यह भेद्यता एक हमलावर को pyload-ng सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है, जिससे सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है, सिस्टम को दूषित कर सकता है, या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकता है। reconnect.script विकल्प के माध्यम से निष्पादन योग्य फ़ाइल को नियंत्रित करने की क्षमता हमलावर को सिस्टम पर उच्च विशेषाधिकार प्राप्त करने की अनुमति देती है। यह भेद्यता Log4Shell जैसे शोषण पैटर्न के समान है, जहां एक कॉन्फ़िगरेशन विकल्प का दुरुपयोग मनमाना कोड निष्पादन की ओर ले जाता है।

Organizations and individuals using pyload-ng for download management, particularly those with multiple users or shared hosting environments, are at risk. Systems where the SETTINGS permission has been granted to non-administrative users are especially vulnerable. Legacy configurations that haven't been regularly updated are also at increased risk.

• linux / server:

journalctl -u pyload-ng | grep -i "reconnect.script"

• python / supply-chain:

import os
config_path = os.path.expanduser('~/.config/pyload-ng/config.json')
with open(config_path, 'r') as f:
    config = json.load(f)
    if 'reconnect' in config and 'script' in config['reconnect']:
        print(f"Potential vulnerability: reconnect.script set to {config['reconnect']['script']}")

• generic web: Use curl or wget to check for the existence of the /api/v1/settings/setconfigvalue endpoint. Examine the response headers for any unusual or unexpected content.

1. 2026-03-20Disclosure

   disclosure

1. आरक्षित2026-03-20
2. प्रकाशित2026-03-20
3. संशोधित2026-03-27
4. EPSS अद्यतन2026-04-01

CVE-2026-33509 को कम करने के लिए, pyload-ng को तुरंत संस्करण 0.5.0b3.dev97 में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो reconnect.script कॉन्फ़िगरेशन विकल्प को एक सुरक्षित, गैर-निष्पादन योग्य फ़ाइल पर सेट करने पर विचार करें। एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके setconfigvalue() API एंडपॉइंट तक पहुंच को सीमित करना भी एक अस्थायी उपाय हो सकता है। कॉन्फ़िगरेशन फ़ाइलों की नियमित निगरानी करें ताकि अनधिकृत परिवर्तनों का पता लगाया जा सके।