Zaloguj się
Deutsch English Español Polski
Krytyczna

Excessive Attack Surface in pyload-ng

  • Ujawniono: 23.01.2023
  • Aktualizacja: 11.10.2026 13:17

Excessive Attack Surface in GitHub repository pyload/pyload prior to 0.5.0b3.dev41.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) pyload-ng < 0.5.0b3.dev41 0.5.0b3.dev41

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-1125
Platforma
Python (PyPI)
Paczka
pyload-ng
Ujawniono
23.01.2023
Aktualizacja
11.10.2026 13:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-6jmx-pv77-wm5w - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-494 - PyPA Advisory Database; CC BY 4.0

Historia podatności: pyload-ng

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
01.2023 10.2026
Bez poprawki
24
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 9
  • Wysoka 23
  • Średnia 25
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Excessive Attack Surface in pyload-ng ten wpis
    Krytyczna · 9.8 CVE-2023-0435 < 0.5.0b3.dev41 0.5.0b3.dev41
  2. pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password
    Wysoka · 8.1 ghsa-68w4-83fh-f2w8 >= 0.5.0b3.dev1, <= 0.5.0b3.dev101 brak poprawki
  3. pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session
    Wysoka · 7.5 ghsa-jq7h-wrvp-3rgx <= 0.5.0b3.dev101 brak poprawki
  4. pyLoad: Api.set_user_permission never invalidates the target's session
    Wysoka · 7.5 ghsa-889w-m37p-88m5 >= 0.5.0b3.dev98, <= 0.5.0b3.dev101 brak poprawki
  5. pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
    Wysoka ghsa-fr26-jjhm-638c <= 0.5.0b3.dev101 brak poprawki
  6. pyLoad has an authentication bypass in API key validation (check_apikey cache)
    Wysoka · 8.1 ghsa-r44w-v6gf-x3p6 < 0.5.0b3.dev101 0.5.0b3.dev101
  7. pyLoad is vulnerable to stored XSS in Downloads view via unsanitized link URL in packages.js template literal
    Wysoka · 8.7 CVE-2026-45348 <= 0.5.0b3.dev99 brak poprawki
  8. PyLoad vulnerable to Path Traversal via Package Folder Name in set_package_data
    Wysoka · 8.1 CVE-2026-42315 < 0.5.0b3.dev100 0.5.0b3.dev100
  9. pyload-ng: non-admin SETTINGS users can redirect all outbound traffic through an attacker-controlled proxy via unrestricted `proxy.*` config (incomplete fix for CVE-2026-33509 / -35463 / -35464 / -35586)
    Wysoka · 8.3 CVE-2026-42313 < 0.5.0b3.dev100 0.5.0b3.dev100
  10. pyLoad has Stale Session Privilege After Role/Permission Change (Privilege Revocation Bypass)
    Wysoka · 8.8 CVE-2026-41133 <= 0.5.0b3.dev97 brak poprawki
  11. pyLoad: Unprotected storage_folder enables arbitrary file write to Flask session store and code execution (Incomplete fix for CVE-2026-33509)
    Wysoka · 7.5 CVE-2026-35464 <= 0.5.0b3 brak poprawki
  12. pyLoad: Improper Neutralization of Special Elements used in an OS Command
    Wysoka · 8.8 CVE-2026-35463 <= 0.5.0b3.dev96 brak poprawki
  13. pyLoad: SSRF filter bypass via HTTP redirect in BaseDownloader (Incomplete fix for CVE-2026-33992)
    Krytyczna CVE-2026-35459 <= 0.5.0b3.dev96 brak poprawki
  14. pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter
    Wysoka · 7.7 CVE-2026-35187 <= 0.5.0b3.dev96 brak poprawki
  15. pyLoad: Server-Side Request Forgery via Download Link Submission Enables Cloud Metadata Exfiltration
    Krytyczna CVE-2026-33992 <= 0.5.0b3.dev96 brak poprawki
  16. pyLoad SETTINGS Permission Users Can Achieve Remote Code Execution via Unrestricted Reconnect Script Configuration
    Wysoka · 7.5 CVE-2026-33509 >= 0.4.0, <= 0.5.0b3.dev96 brak poprawki
  17. pyLoad has an Arbitrary File Write via Path Traversal in edit_package()
    Wysoka · 7.1 CVE-2026-29778 >= 0.5.0b3.dev13, < 0.5.0b3.dev97 0.5.0b3.dev97
  18. pyLoad CNL and captcha handlers allow Code Injection via unsanitized parameters
    Wysoka · 8.1 CVE-2025-61773 < 0.5.0b3.dev91 0.5.0b3.dev91
  19. Denial-of-Service attack in pyLoad CNL Blueprint using dukpy.evaljs
    Wysoka CVE-2025-57751 < 0.5.0b3.dev92 0.5.0b3.dev92
  20. PyLoad vulnerable to SQL Injection via API /json/add_package in add_links parameter
    Wysoka CVE-2025-55156 < 0.5.0b3.dev91 0.5.0b3.dev91
  21. pyLoad CNL Blueprint allows Path Traversal through `dlc_path` which leads to Remote Code Execution (RCE)
    Krytyczna · 9.8 CVE-2025-54802 < 0.5.0b3.dev90 0.5.0b3.dev90
Pokaż więcej (11) Widać 21 z 32

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.