Iniciar sesión
Deutsch English Español Polski
Media

An open redirection vulnerability exists in pyload/pyload version 0.5.0. The vulnerability is due to improper handling of the 'next' parameter in the login functionality. An attacker can exploit this

  • Publicada: 15.11.2024
  • Actualizado: 11.10.2026 12:19

An open redirection vulnerability exists in pyload/pyload version 0.5.0. The vulnerability is due to improper handling of the 'next' parameter in the login functionality. An attacker can exploit this vulnerability to redirect users to malicious sites, which can be used for phishing or other malicious activities. The issue is fixed in pyload-ng 0.5.0b3.dev79.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) pyload-ng todas las versiones sin corrección

Referencias

Puntuación CVSS 6.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
-
Plataforma
Python (PyPI)
Paquete
pyload-ng
Publicada
15.11.2024
Actualizado
11.10.2026 12:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-123 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: pyload-ng

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (58) en el archivo
Entradas en total
58
Primera → última
01.2023 10.2026
Sin corrección
24
Explotada en ataques
0

Distribución por gravedad

  • Crítica 9
  • Alta 23
  • Media 25
  • Baja 1

Divulgaciones por año

Gravedad:
  1. An open redirection vulnerability exists in pyload/pyload version 0.5.0. The vulnerability is due to improper handling of the 'next' parameter in the login functionality. An attacker can exploit this esta entrada
    Media · 6.1 CVE-2024-1240 todas las versiones sin corrección
  2. pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password
    Alta · 8.1 ghsa-68w4-83fh-f2w8 >= 0.5.0b3.dev1, <= 0.5.0b3.dev101 sin corrección
  3. pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session
    Alta · 7.5 ghsa-jq7h-wrvp-3rgx <= 0.5.0b3.dev101 sin corrección
  4. pyLoad: Api.set_user_permission never invalidates the target's session
    Alta · 7.5 ghsa-889w-m37p-88m5 >= 0.5.0b3.dev98, <= 0.5.0b3.dev101 sin corrección
  5. pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
    Alta ghsa-fr26-jjhm-638c <= 0.5.0b3.dev101 sin corrección
  6. pyLoad has an authentication bypass in API key validation (check_apikey cache)
    Alta · 8.1 ghsa-r44w-v6gf-x3p6 < 0.5.0b3.dev101 0.5.0b3.dev101
  7. pyLoad is vulnerable to stored XSS in Downloads view via unsanitized link URL in packages.js template literal
    Alta · 8.7 CVE-2026-45348 <= 0.5.0b3.dev99 sin corrección
  8. PyLoad vulnerable to Path Traversal via Package Folder Name in set_package_data
    Alta · 8.1 CVE-2026-42315 < 0.5.0b3.dev100 0.5.0b3.dev100
  9. pyload-ng: non-admin SETTINGS users can redirect all outbound traffic through an attacker-controlled proxy via unrestricted `proxy.*` config (incomplete fix for CVE-2026-33509 / -35463 / -35464 / -35586)
    Alta · 8.3 CVE-2026-42313 < 0.5.0b3.dev100 0.5.0b3.dev100
  10. pyLoad has Stale Session Privilege After Role/Permission Change (Privilege Revocation Bypass)
    Alta · 8.8 CVE-2026-41133 <= 0.5.0b3.dev97 sin corrección
  11. pyLoad: Unprotected storage_folder enables arbitrary file write to Flask session store and code execution (Incomplete fix for CVE-2026-33509)
    Alta · 7.5 CVE-2026-35464 <= 0.5.0b3 sin corrección
  12. pyLoad: Improper Neutralization of Special Elements used in an OS Command
    Alta · 8.8 CVE-2026-35463 <= 0.5.0b3.dev96 sin corrección
  13. pyLoad: SSRF filter bypass via HTTP redirect in BaseDownloader (Incomplete fix for CVE-2026-33992)
    Crítica CVE-2026-35459 <= 0.5.0b3.dev96 sin corrección
  14. pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter
    Alta · 7.7 CVE-2026-35187 <= 0.5.0b3.dev96 sin corrección
  15. pyLoad: Server-Side Request Forgery via Download Link Submission Enables Cloud Metadata Exfiltration
    Crítica CVE-2026-33992 <= 0.5.0b3.dev96 sin corrección
  16. pyLoad SETTINGS Permission Users Can Achieve Remote Code Execution via Unrestricted Reconnect Script Configuration
    Alta · 7.5 CVE-2026-33509 >= 0.4.0, <= 0.5.0b3.dev96 sin corrección
  17. pyLoad has an Arbitrary File Write via Path Traversal in edit_package()
    Alta · 7.1 CVE-2026-29778 >= 0.5.0b3.dev13, < 0.5.0b3.dev97 0.5.0b3.dev97
  18. pyLoad CNL and captcha handlers allow Code Injection via unsanitized parameters
    Alta · 8.1 CVE-2025-61773 < 0.5.0b3.dev91 0.5.0b3.dev91
  19. Denial-of-Service attack in pyLoad CNL Blueprint using dukpy.evaljs
    Alta CVE-2025-57751 < 0.5.0b3.dev92 0.5.0b3.dev92
  20. PyLoad vulnerable to SQL Injection via API /json/add_package in add_links parameter
    Alta CVE-2025-55156 < 0.5.0b3.dev91 0.5.0b3.dev91
  21. pyLoad CNL Blueprint allows Path Traversal through `dlc_path` which leads to Remote Code Execution (RCE)
    Crítica · 9.8 CVE-2025-54802 < 0.5.0b3.dev90 0.5.0b3.dev90
Mostrar más (12) Mostrando 21 de 33

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.