pyLoad: 在加密的 7z 密码验证过程中通过路径遍历实现任意文件删除

攻击者可以利用此路径遍历漏洞，通过构造恶意的加密 7z 档案，绕过密码验证机制，并删除 pyLoad 运行环境中的任意文件。这可能导致系统数据丢失、服务中断，甚至可能被用于进一步的攻击。由于 pyLoad 通常用于下载和管理文件，因此攻击者可能能够删除关键系统文件或用户数据，造成严重后果。该漏洞的利用方式类似于其他路径遍历漏洞，攻击者通过控制文件路径，访问并修改未经授权的文件。

Users who rely on pyLoad for downloading files and are running versions prior to 0.5.0b3.dev97 are at risk. This includes individuals and organizations using pyLoad in automated download scripts or as part of their workflow. Shared hosting environments where multiple users share the same pyLoad installation are particularly vulnerable, as a compromised archive could affect all users on the system.

• linux / server:

find / -type f -name '*.7z' -mtime +7 -print # Identify old 7z archives
journalctl -u pylload -f | grep -i "password verification" # Monitor password verification logs

• python:

import os
import hashlib
# Check for unusual file paths during password verification
# (This requires code analysis of the pyLoad source code)

• generic web: Inspect web server access logs for requests containing unusual file paths or attempts to access 7z archives from untrusted sources.

1. 2026-03-20Disclosure

   disclosure

1. 已保留2026-03-16
2. 发布日期2026-03-20
3. 修改日期2026-03-25
4. EPSS 更新日期2026-03-27

为了缓解 CVE-2026-32808 的风险，首要措施是立即升级到 pyLoad 0.5.0b3.dev97 或更高版本。如果无法立即升级，可以考虑限制 pyLoad 运行用户的权限，使其只能访问必要的目录。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以拦截包含可疑文件路径的请求。监控 pyLoad 的日志文件，查找异常的文件删除操作，有助于及时发现和响应攻击。升级后，请确认通过运行 pyLoad 并尝试使用受影响的加密 7z 档案进行密码验证，以验证漏洞是否已成功修复。