CVE-2026-35187：pyload-ng SSRF漏洞，风险高！

pyLoad 中的 CVE-2026-35187 允许具有 ADD 权限的经过身份验证的用户向内部网络资源和云元数据端点发送 HTTP/HTTPS 请求。 这是由于 src/pyload/core/api/init.py 中 parseurls 函数缺乏 URL 验证造成的。 geturl(url) (pycurl) 函数在没有协议限制或 IP 黑名单的情况下，在服务器端任意获取 URL。攻击者可以使用 file:// 协议读取本地文件，因为 pycurl 在服务器端读取文件。主要影响是可能泄露敏感信息、未经授权访问内部资源，以及如果与其他漏洞结合使用，则可能执行代码。

Organizations using pyLoad for download management, particularly those with internal networks accessible from the internet, are at risk. Shared hosting environments where multiple users have access to the pyLoad API are especially vulnerable, as a compromised user account could be used to exploit the SSRF vulnerability and access resources belonging to other users.

• python / server:

import requests
import re

def check_pyload_ssrf(url):
    try:
        response = requests.get(url, timeout=5)
        if response.status_code == 200:
            if re.search(r'file://', url) or re.search(r'gopher://', url) or re.search(r'dict://', url):
                print(f"Potential SSRF vulnerability detected: {url}")
            else:
                print(f"URL accessed: {url}")
    except requests.exceptions.RequestException as e:
        print(f"Error accessing {url}: {e}")

# Example usage (replace with actual API endpoint)
api_endpoint = "http://your-pyload-server/api/add"

# Test with potentially malicious URLs
check_pyload_ssrf("file:///etc/passwd")
check_pyload_ssrf("gopher://127.0.0.1/some_internal_service")

1. 2026-04-06Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-06
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-14

CVE-2026-35187 的解决方案是将 pyLoad 更新到 0.5.0b3.dev96 或更高版本。此版本通过在 parse_urls 函数中实现 URL 验证和协议限制来解决此漏洞。同时，作为临时措施，建议限制具有 ADD 权限的经过身份验证的用户访问内部网络和云元数据端点。 此外，审查和审计 pyLoad 中的用户权限以最大程度地降低被利用的风险至关重要。 监控服务器日志中与 URL 请求相关的可疑活动也可以帮助检测和响应潜在攻击。