pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter

CVE-2026-35187 in pyLoad stelt een geauthenticeerde gebruiker met de ADD-machtiging in staat om HTTP/HTTPS-verzoeken te doen naar interne netwerkbronnen en cloud metadata-endpoints. Dit komt door een gebrek aan URL-validatie in de parseurls-functie binnen src/pyload/core/api/init.py. De geturl(url) (pycurl)-functie haalt URLs willekeurig server-side op zonder protocolrestricties of IP-blacklists. Een aanvaller kan lokale bestanden lezen met behulp van het file://-protocol, aangezien pycurl het bestand server-side leest. De belangrijkste impact is de mogelijke blootstelling van gevoelige informatie, ongeautoriseerde toegang tot interne bronnen en mogelijk code-uitvoering als deze wordt gecombineerd met andere kwetsbaarheden.

Organizations using pyLoad for download management, particularly those with internal networks accessible from the internet, are at risk. Shared hosting environments where multiple users have access to the pyLoad API are especially vulnerable, as a compromised user account could be used to exploit the SSRF vulnerability and access resources belonging to other users.

• python / server:

import requests
import re

def check_pyload_ssrf(url):
    try:
        response = requests.get(url, timeout=5)
        if response.status_code == 200:
            if re.search(r'file://', url) or re.search(r'gopher://', url) or re.search(r'dict://', url):
                print(f"Potential SSRF vulnerability detected: {url}")
            else:
                print(f"URL accessed: {url}")
    except requests.exceptions.RequestException as e:
        print(f"Error accessing {url}: {e}")

# Example usage (replace with actual API endpoint)
api_endpoint = "http://your-pyload-server/api/add"

# Test with potentially malicious URLs
check_pyload_ssrf("file:///etc/passwd")
check_pyload_ssrf("gopher://127.0.0.1/some_internal_service")

1. 2026-04-06Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-06
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-04-14

De oplossing voor CVE-2026-35187 is om pyLoad te updaten naar versie 0.5.0b3.dev96 of hoger. Deze versie pakt de kwetsbaarheid aan door URL-validatie en protocolrestricties in de parse_urls-functie te implementeren. In de tussentijd wordt, als tijdelijke maatregel, aanbevolen om geauthenticeerde gebruikers met ADD-machtigingen te beperken tot toegang tot het interne netwerk en cloud metadata-endpoints. Het is ook cruciaal om gebruikersrechten in pyLoad te beoordelen en te auditeren om het risico op uitbuiting te minimaliseren. Het monitoren van serverlogs op verdachte activiteiten gerelateerd aan URL-verzoeken kan ook helpen bij het detecteren en reageren op mogelijke aanvallen.