SSRF em pyload-ng ≤0.5.0b3.dev96: CVE-2026-35459

A vulnerabilidade CVE-2026-35459 no pyload permite que um usuário autenticado com permissões de ADD contorne a mitigação de SSRF (Server-Side Request Forgery) implementada para corrigir CVE-2026-33992. A correção anterior introduziu a validação de IP em BaseDownloader.download() para verificar o hostname da URL de download inicial. No entanto, o pycurl está configurado com FOLLOWLOCATION=1 e MAXREDIRS=10, o que permite que ele siga automaticamente redirecionamentos HTTP. O problema reside no fato de que as URLs de destino desses redirecionamentos não são validadas contra o filtro SSRF, permitindo o acesso a recursos internos.

Organizations using pyload-ng for download management, particularly those with internal services accessible from the network, are at risk. Shared hosting environments where multiple users have ADD permissions within pyload-ng are especially vulnerable, as a compromised user account could be leveraged to exploit this SSRF vulnerability.

• python / server:

import requests
import urllib.parse

def check_redirects(url):
    try:
        response = requests.get(url, allow_redirects=True, timeout=5)
        print(f"Final URL: {response.url}")
        return True  # Redirects followed
    except requests.exceptions.RequestException as e:
        print(f"Error: {e}")
        return False

# Example usage (replace with pyload-ng specific URLs)
url_to_check = "http://example.com/redirect?url=http://127.0.0.1:8000/internal/resource"
check_redirects(url_to_check)

• generic web:

curl -I 'http://your-pyload-ng-instance/your-endpoint?url=http://internal-ip/sensitive-resource' | grep 'Location:'

1. 2026-04-04Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-04
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

Atualmente, não existe uma correção (fix) oficial para CVE-2026-35459. A mitigação recomendada é desabilitar os redirecionamentos HTTP na configuração do pycurl, definindo FOLLOWLOCATION=0. Alternativamente, pode-se implementar uma validação adicional da URL de destino dos redirecionamentos dentro da função BaseDownloader.download() para garantir que ela corresponda ao domínio esperado. É crucial aplicar esta mitigação o mais rápido possível para reduzir o risco de exploração. Recomenda-se monitorar as atualizações de segurança do pyload para obter uma solução oficial.