pyload-ngのADMINONLYOPTIONS保護メカニズムは、セキュリティクリティカルな設定値を管理者のみへのアクセスに制限します。しかし、この保護はコア設定オプションにのみ適用され、プラグイン設定オプションには適用されません。AntiVirusプラグインは、実行可能パス (avfile) を設定に保存し、それをsubprocess.Popen()に直接渡します。SETTING権限を持つ非管理者ユーザーは、このパスを変更することでリモートコード実行を達成できます。影響を受けるバージョンは0.5.0b3.dev96以下です。現時点では公式な修正パッチは公開されていません。
pyLoadのCVE-2026-35463は、バージョン0.5.0b3.dev96以前に影響します。pyLoadは、再接続スクリプト、SSL証明書、プロキシ認証情報などの機密設定へのアクセスを制限するために「ADMINONLYOPTIONS」保護を実装していますが、この保護はプラグイン設定オプションには適用されません。AntiVirusプラグインは、その設定に実行可能パス（avfile）を保存し、これを直接subprocess.Popen()に渡します。管理者権限のないユーザーは、この欠陥を利用してシステム上で任意のコードを実行し、pyLoadが実行されているサーバーのセキュリティを侵害する可能性があります。任意のコードの実行により、データへの不正アクセス、ファイルの変更、およびシステムの乗っ取りが可能になる可能性があります。
AntiVirusプラグインの設定にアクセスできる管理者権限のないユーザーは、'avfile'実行可能ファイルのパスを悪意のあるファイルへのパスに変更できます。pyLoadがAntiVirusプラグインを実行すると、この悪意のあるファイルはpyLoadを実行しているユーザーの権限で実行され、これにより任意のコードの実行が可能になる可能性があります。実行可能ファイルのパスの検証がないため、この脆弱性は悪用可能です。悪用の複雑さは、環境とpyLoadを実行しているユーザーの権限によって異なります。
Organizations using pyLoad as a download manager, particularly those with multiple users and granular permission settings, are at risk. Shared hosting environments where users have access to plugin configuration files are especially vulnerable. Legacy pyLoad installations running the affected versions are also at increased risk.
• python / process monitoring: Monitor pyLoad processes for unexpected child processes.
Get-Process pyLoad -ErrorAction SilentlyContinue | Select-Object -ExpandProperty ProcessName• python / file integrity monitoring: Monitor the AntiVirus plugin's configuration file for unexpected changes to the avfile path.
import hashlib
expected_hash = 'your_expected_hash_here'
with open('path/to/plugin/config.ini', 'rb') as f:
current_hash = hashlib.md5(f.read()).hexdigest()
if current_hash != expected_hash:
print('Configuration file modified!')• generic web: Monitor pyLoad's web interface logs for suspicious activity related to plugin configuration changes.
disclosure
エクスプロイト状況
EPSS
0.29% (52% パーセンタイル)
CISA SSVC
現時点では、この脆弱性に対する公式な修正（fix）はありません。最も効果的な軽減策は、0.5.0b3.dev96以降のpyLoadバージョンにアップデートすることです。それまでの間、AntiVirusプラグインを無効にするか、どうしても必要な場合は、pyLoad設定への管理者権限のないユーザーのアクセスを厳しく制限することをお勧めします。システムの活動とセキュリティアラートを監視することで、潜在的な悪用試行を検出するのに役立ちます。さらに、同様の潜在的な脆弱性を特定するために、すべてのプラグイン設定をレビューおよび監査することをお勧めします。
Actualice pyLoad a una versión corregida. La vulnerabilidad se solucionó permitiendo que la protección ADMIN_ONLY_OPTIONS se aplique también a las opciones de configuración del plugin, evitando que usuarios sin privilegios administrativos puedan ejecutar comandos del sistema.
脆弱性分析と重要アラートをメールでお届けします。
これは、攻撃者がシステム上の任意のコマンドまたはプログラムを実行できることを意味し、サーバーに対する完全な制御を可能にします。
pyLoadのバージョンが0.5.0b3.dev96より前で、AntiVirusプラグインが有効になっている場合は、影響を受けている可能性が高いです。
AntiVirusプラグインを無効にするか、管理者権限のないユーザーの権限を制限してください。
可能性があります。pyLoadからの最新のセキュリティアップデートを常に把握し、セキュリティドキュメントを確認することをお勧めします。
NVD（National Vulnerability Database）などの脆弱性データベースまたはpyLoadコミュニティフォーラムで詳細情報を見つけることができます。
CVSS ベクトル
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。