Iniciar sesión
Deutsch English Español Polski
Media

Cross-site Scripting in pyload-ng

  • Publicada: 27.01.2023
  • Actualizado: 11.10.2026 13:18

Cross-site Scripting (XSS) - Stored in GitHub repository pyload/pyload prior to 0.5.0b3.dev42.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) pyload-ng < 0.5.0b3.dev42 0.5.0b3.dev42

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Python (PyPI)
Paquete
pyload-ng
Publicada
27.01.2023
Actualizado
11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-907 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-wcm6-wv95-7jw6 - CC BY 4.0

Historial de vulnerabilidades: pyload-ng

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (58) en el archivo
Entradas en total
58
Primera → última
01.2023 10.2026
Sin corrección
24
Explotada en ataques
0

Distribución por gravedad

  • Crítica 9
  • Alta 23
  • Media 25
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Cross-site Scripting in pyload-ng esta entrada
    Media · 5.4 CVE-2023-0488 < 0.5.0b3.dev42 0.5.0b3.dev42
  2. pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password
    Alta · 8.1 ghsa-68w4-83fh-f2w8 >= 0.5.0b3.dev1, <= 0.5.0b3.dev101 sin corrección
  3. pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session
    Alta · 7.5 ghsa-jq7h-wrvp-3rgx <= 0.5.0b3.dev101 sin corrección
  4. pyLoad: Api.set_user_permission never invalidates the target's session
    Alta · 7.5 ghsa-889w-m37p-88m5 >= 0.5.0b3.dev98, <= 0.5.0b3.dev101 sin corrección
  5. pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
    Alta ghsa-fr26-jjhm-638c <= 0.5.0b3.dev101 sin corrección
  6. pyLoad has an authentication bypass in API key validation (check_apikey cache)
    Alta · 8.1 ghsa-r44w-v6gf-x3p6 < 0.5.0b3.dev101 0.5.0b3.dev101
  7. pyLoad is vulnerable to stored XSS in Downloads view via unsanitized link URL in packages.js template literal
    Alta · 8.7 CVE-2026-45348 <= 0.5.0b3.dev99 sin corrección
  8. PyLoad vulnerable to Path Traversal via Package Folder Name in set_package_data
    Alta · 8.1 CVE-2026-42315 < 0.5.0b3.dev100 0.5.0b3.dev100
  9. pyload-ng: non-admin SETTINGS users can redirect all outbound traffic through an attacker-controlled proxy via unrestricted `proxy.*` config (incomplete fix for CVE-2026-33509 / -35463 / -35464 / -35586)
    Alta · 8.3 CVE-2026-42313 < 0.5.0b3.dev100 0.5.0b3.dev100
  10. pyLoad has Stale Session Privilege After Role/Permission Change (Privilege Revocation Bypass)
    Alta · 8.8 CVE-2026-41133 <= 0.5.0b3.dev97 sin corrección
  11. pyLoad: Unprotected storage_folder enables arbitrary file write to Flask session store and code execution (Incomplete fix for CVE-2026-33509)
    Alta · 7.5 CVE-2026-35464 <= 0.5.0b3 sin corrección
  12. pyLoad: Improper Neutralization of Special Elements used in an OS Command
    Alta · 8.8 CVE-2026-35463 <= 0.5.0b3.dev96 sin corrección
  13. pyLoad: SSRF filter bypass via HTTP redirect in BaseDownloader (Incomplete fix for CVE-2026-33992)
    Crítica CVE-2026-35459 <= 0.5.0b3.dev96 sin corrección
  14. pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter
    Alta · 7.7 CVE-2026-35187 <= 0.5.0b3.dev96 sin corrección
  15. pyLoad: Server-Side Request Forgery via Download Link Submission Enables Cloud Metadata Exfiltration
    Crítica CVE-2026-33992 <= 0.5.0b3.dev96 sin corrección
  16. pyLoad SETTINGS Permission Users Can Achieve Remote Code Execution via Unrestricted Reconnect Script Configuration
    Alta · 7.5 CVE-2026-33509 >= 0.4.0, <= 0.5.0b3.dev96 sin corrección
  17. pyLoad has an Arbitrary File Write via Path Traversal in edit_package()
    Alta · 7.1 CVE-2026-29778 >= 0.5.0b3.dev13, < 0.5.0b3.dev97 0.5.0b3.dev97
  18. pyLoad CNL and captcha handlers allow Code Injection via unsanitized parameters
    Alta · 8.1 CVE-2025-61773 < 0.5.0b3.dev91 0.5.0b3.dev91
  19. Denial-of-Service attack in pyLoad CNL Blueprint using dukpy.evaljs
    Alta CVE-2025-57751 < 0.5.0b3.dev92 0.5.0b3.dev92
  20. PyLoad vulnerable to SQL Injection via API /json/add_package in add_links parameter
    Alta CVE-2025-55156 < 0.5.0b3.dev91 0.5.0b3.dev91
  21. pyLoad CNL Blueprint allows Path Traversal through `dlc_path` which leads to Remote Code Execution (RCE)
    Crítica · 9.8 CVE-2025-54802 < 0.5.0b3.dev90 0.5.0b3.dev90
Mostrar más (12) Mostrando 21 de 33

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.