pyLoad: Armazenamento_pasta não protegido permite escrita arbitrária no armazenamento de sessão Flask e execução de código (Correção incompleta para CVE-2026-33509)

A exploração bem-sucedida desta vulnerabilidade permite que um atacante com permissões SETTINGS e ADD direcione downloads para o diretório de sessão Flask, inserindo um payload malicioso pickle. Quando qualquer requisição HTTP chega com o cookie de sessão correspondente, o payload é executado, resultando na execução de código arbitrário no servidor. O impacto é severo, pois um atacante pode comprometer completamente o sistema, obter acesso a dados sensíveis e potencialmente se mover lateralmente para outros sistemas na rede. A capacidade de executar código arbitrário torna esta vulnerabilidade comparável em impacto a outras falhas de execução remota de código (RCE), embora a exploração exija uma etapa adicional de manipulação de sessão.

Organizations and individuals utilizing pyload-ng for download management, particularly those with multiple users and less stringent access controls, are at risk. Shared hosting environments where multiple users share the same pyload-ng instance are especially vulnerable, as an attacker could potentially compromise the entire environment through a single user account.

• python / server:

import os
import pickle

# Check for unusual files in the Flask session directory
session_dir = '/path/to/your/pyload-ng/flask_session'
for filename in os.listdir(session_dir):
    if filename.endswith('.pkl'):
        print(f"Suspicious pickle file found: {session_dir}/{filename}")

• python / server:

# Monitor for unusual processes accessing the Flask session directory
ps aux | grep 'pickle' | grep '/path/to/your/pyload-ng/flask_session'

1. 2026-04-04Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-04
3. Modificada2026-04-07
4. EPSS atualizado2026-04-15

A mitigação primária é atualizar o pyload-ng para a versão 0.5.0b3.dev96, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais. Restrinja o acesso ao diretório de sessão Flask, limitando as permissões de leitura e escrita apenas ao usuário do pyload-ng. Implemente regras em um Web Application Firewall (WAF) ou proxy para detectar e bloquear requisições HTTP suspeitas que envolvam o cookie de sessão. Monitore os logs do pyload-ng em busca de atividades anormais, como tentativas de acesso não autorizado ao diretório de sessão.