pyLoad PERMISSÕES DE CONFIGURAÇÃO Permitem a Usuários Execução Remota de Código via Configuração Irrestrita do Script de Reconexão

Um atacante pode explorar essa vulnerabilidade obtendo a permissão SETTINGS no pyload-ng. Com essa permissão, o atacante pode modificar o reconnect.script para apontar para um executável malicioso no sistema. Quando o thread manager tenta se reconectar, o executável malicioso é executado com os privilégios do processo pyload-ng, permitindo a execução de código arbitrário. O impacto é a completa tomada de controle do sistema onde o pyload-ng está rodando, com potencial para roubo de dados, instalação de malware ou uso como ponto de apoio para ataques a outros sistemas na rede. A falta de validação adequada nas configurações torna essa vulnerabilidade particularmente perigosa.

Organizations and individuals using pyload-ng for download management, particularly those with multiple users or shared hosting environments, are at risk. Systems where the SETTINGS permission has been granted to non-administrative users are especially vulnerable. Legacy configurations that haven't been regularly updated are also at increased risk.

• linux / server:

journalctl -u pyload-ng | grep -i "reconnect.script"

• python / supply-chain:

import os
config_path = os.path.expanduser('~/.config/pyload-ng/config.json')
with open(config_path, 'r') as f:
    config = json.load(f)
    if 'reconnect' in config and 'script' in config['reconnect']:
        print(f"Potential vulnerability: reconnect.script set to {config['reconnect']['script']}")

• generic web: Use curl or wget to check for the existence of the /api/v1/settings/setconfigvalue endpoint. Examine the response headers for any unusual or unexpected content.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-03-20
3. Modificada2026-03-27
4. EPSS atualizado2026-04-01

A mitigação primária é atualizar o pyload-ng para a versão 0.5.0b3.dev97 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere restringir o acesso à API setconfigvalue() apenas a administradores confiáveis. Implementar um sistema de controle de acesso mais granular, limitando as permissões SETTINGS a usuários específicos e monitorando as alterações de configuração. Além disso, utilize um Web Application Firewall (WAF) para bloquear requisições suspeitas à API setconfigvalue(). Verifique se o arquivo reconnect.script não foi modificado e se aponta para o local esperado. Após a atualização, confirme a correção verificando se a API setconfigvalue() restringe a modificação do reconnect.script a administradores.