pyLoad SETTINGS権限を持つユーザーが、制限のないReconnectionスクリプト設定を通じてリモートコード実行を達成できる

この脆弱性は、攻撃者がpyload-ngの設定を不正に操作し、システム上で任意のコードを実行することを可能にします。具体的には、reconnect.script設定を悪用することで、任意の実行ファイルを指定し、その実行結果をシステムに反映させることができます。これにより、機密情報の窃取、システムの改ざん、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。類似の脆弱性は、設定ファイルの不正な書き込みを伴うアプリケーションで確認されており、この脆弱性も同様の攻撃ベクトルが想定されます。

Organizations and individuals using pyload-ng for download management, particularly those with multiple users or shared hosting environments, are at risk. Systems where the SETTINGS permission has been granted to non-administrative users are especially vulnerable. Legacy configurations that haven't been regularly updated are also at increased risk.

• linux / server:

journalctl -u pyload-ng | grep -i "reconnect.script"

• python / supply-chain:

import os
config_path = os.path.expanduser('~/.config/pyload-ng/config.json')
with open(config_path, 'r') as f:
    config = json.load(f)
    if 'reconnect' in config and 'script' in config['reconnect']:
        print(f"Potential vulnerability: reconnect.script set to {config['reconnect']['script']}")

• generic web: Use curl or wget to check for the existence of the /api/v1/settings/setconfigvalue endpoint. Examine the response headers for any unusual or unexpected content.

1. 2026-03-20Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-03-20
3. 更新日2026-03-27
4. EPSS 更新日2026-04-01

この脆弱性への対応策として、まずpyload-ngをバージョン0.5.0b3.dev97以上にアップデートすることを推奨します。アップデートが困難な場合は、reconnect.script設定の値を厳重に制限する、またはこの設定自体を無効化することを検討してください。また、WAFやIPSなどのセキュリティ機器を導入し、不正な設定変更を検知・防御する仕組みを構築することも有効です。設定変更のログを監視し、異常な変更がないか定期的に確認することも重要です。アップデート後、reconnect.script設定が適切に制限されていることを確認してください。