pyLoad: असुरक्षित storage_folder Flask सत्र भंडार में मनमाना फ़ाइल लेखन और कोड निष्पादन को सक्षम करता है (CVE-2026-33509 के लिए अधूरी सुधार)

यह भेद्यता pyload-ng उपयोगकर्ताओं के लिए गंभीर जोखिम पैदा करती है। एक हमलावर, जिसके पास SETTINGS और ADD अनुमतियाँ हैं, Flask सत्र फ़ाइल में एक दुर्भावनापूर्ण पेलोड को सफलतापूर्वक इंजेक्ट कर सकता है। यह पेलोड, एक बार ट्रिगर होने पर, सर्वर पर मनमाने कोड निष्पादित करने की अनुमति देगा। संभावित प्रभाव में संवेदनशील डेटा का समझौता, सिस्टम का पूर्ण नियंत्रण, और अन्य प्रणालियों में आगे का प्रसार शामिल है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह Flask फ़ाइल सिस्टम सत्र स्टोर के माध्यम से सीधे कोड निष्पादन की अनुमति देती है, जिससे पारंपरिक सुरक्षा उपायों को बायपास करना आसान हो जाता है।

Organizations and individuals utilizing pyload-ng for download management, particularly those with multiple users and less stringent access controls, are at risk. Shared hosting environments where multiple users share the same pyload-ng instance are especially vulnerable, as an attacker could potentially compromise the entire environment through a single user account.

• python / server:

import os
import pickle

# Check for unusual files in the Flask session directory
session_dir = '/path/to/your/pyload-ng/flask_session'
for filename in os.listdir(session_dir):
    if filename.endswith('.pkl'):
        print(f"Suspicious pickle file found: {session_dir}/{filename}")

• python / server:

# Monitor for unusual processes accessing the Flask session directory
ps aux | grep 'pickle' | grep '/path/to/your/pyload-ng/flask_session'

1. 2026-04-04Disclosure

   disclosure

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-04
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-15

CVE-2026-35464 के प्रभाव को कम करने के लिए, तुरंत pyload-ng को संस्करण 0.5.0b3.dev96 में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, Flask सत्र निर्देशिका के लिए सख्त पहुंच नियंत्रण लागू करने पर विचार करें। सुनिश्चित करें कि केवल विश्वसनीय उपयोगकर्ता ही इस निर्देशिका तक पहुंच सकते हैं। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को कॉन्फ़िगर करें ताकि संभावित दुर्भावनापूर्ण पेलोड को फ़िल्टर किया जा सके। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, Flask सत्र फ़ाइल में किसी भी अनपेक्षित परिवर्तन की निगरानी करके और यह सुनिश्चित करके कि कोई अनधिकृत कोड निष्पादित नहीं हो रहा है।