pyLoad: Exclusão Arbitrária de Arquivos via Path Traversal durante Verificação de Senha de 7z Criptografado

A exploração bem-sucedida desta vulnerabilidade permite a um atacante a exclusão de arquivos críticos no sistema onde o pyLoad está instalado. Isso pode levar à perda de dados, interrupção de serviços e, potencialmente, à escalada de privilégios, dependendo das permissões do usuário que executa o pyLoad. A falta de validação adequada do nome da entrada do arquivo durante a verificação de senha possibilita a manipulação do caminho do arquivo, permitindo que o atacante acesse e exclua arquivos fora do diretório esperado. Embora o impacto direto seja a exclusão de arquivos, a possibilidade de comprometer arquivos de configuração ou dados sensíveis aumenta significativamente o risco.

Users who rely on pyLoad for downloading files and are running versions prior to 0.5.0b3.dev97 are at risk. This includes individuals and organizations using pyLoad in automated download scripts or as part of their workflow. Shared hosting environments where multiple users share the same pyLoad installation are particularly vulnerable, as a compromised archive could affect all users on the system.

• linux / server:

find / -type f -name '*.7z' -mtime +7 -print # Identify old 7z archives
journalctl -u pylload -f | grep -i "password verification" # Monitor password verification logs

• python:

import os
import hashlib
# Check for unusual file paths during password verification
# (This requires code analysis of the pyLoad source code)

• generic web: Inspect web server access logs for requests containing unusual file paths or attempts to access 7z archives from untrusted sources.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-16
2. Publicada2026-03-20
3. Modificada2026-03-25
4. EPSS atualizado2026-03-27

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 0.5.0b3.dev97 ou superior do pyLoad. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir as permissões do usuário que executa o pyLoad para limitar o impacto potencial da exclusão de arquivos. Monitore os logs do sistema em busca de atividades suspeitas relacionadas à manipulação de arquivos e à verificação de senhas. Embora não haja regras WAF específicas para esta vulnerabilidade, a implementação de regras gerais de proteção contra Path Traversal pode ajudar a mitigar o risco.