Anmelden
Deutsch English Español Polski
Kritisch

Code Injection in pyload-ng

  • Veröffentlicht: 14.01.2023
  • Aktualisiert: 11.10.2026 13:17

Code Injection in GitHub repository pyload/pyload prior to 0.5.0b3.dev31.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) pyload-ng < 0.5.0b3.dev31 0.5.0b3.dev31

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-94
Plattform
Python (PyPI)
Paket
pyload-ng
Veröffentlicht
14.01.2023
Aktualisiert
11.10.2026 13:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-pf38-5p22-x6h6 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-498 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: pyload-ng

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (58) im Archiv
Einträge insgesamt
58
Erste → letzte
01.2023 10.2026
Ohne Fix
24
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 23
  • Mittel 25
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password
    Hoch · 8.1 ghsa-68w4-83fh-f2w8 >= 0.5.0b3.dev1, <= 0.5.0b3.dev101 keine Korrektur
  2. pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session
    Hoch · 7.5 ghsa-jq7h-wrvp-3rgx <= 0.5.0b3.dev101 keine Korrektur
  3. pyLoad: Api.set_user_permission never invalidates the target's session
    Hoch · 7.5 ghsa-889w-m37p-88m5 >= 0.5.0b3.dev98, <= 0.5.0b3.dev101 keine Korrektur
  4. pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
    Hoch ghsa-fr26-jjhm-638c <= 0.5.0b3.dev101 keine Korrektur
  5. pyLoad has an authentication bypass in API key validation (check_apikey cache)
    Hoch · 8.1 ghsa-r44w-v6gf-x3p6 < 0.5.0b3.dev101 0.5.0b3.dev101
  6. pyLoad is vulnerable to stored XSS in Downloads view via unsanitized link URL in packages.js template literal
    Hoch · 8.7 CVE-2026-45348 <= 0.5.0b3.dev99 keine Korrektur
  7. PyLoad vulnerable to Path Traversal via Package Folder Name in set_package_data
    Hoch · 8.1 CVE-2026-42315 < 0.5.0b3.dev100 0.5.0b3.dev100
  8. pyload-ng: non-admin SETTINGS users can redirect all outbound traffic through an attacker-controlled proxy via unrestricted `proxy.*` config (incomplete fix for CVE-2026-33509 / -35463 / -35464 / -35586)
    Hoch · 8.3 CVE-2026-42313 < 0.5.0b3.dev100 0.5.0b3.dev100
  9. pyLoad has Stale Session Privilege After Role/Permission Change (Privilege Revocation Bypass)
    Hoch · 8.8 CVE-2026-41133 <= 0.5.0b3.dev97 keine Korrektur
  10. pyLoad: Unprotected storage_folder enables arbitrary file write to Flask session store and code execution (Incomplete fix for CVE-2026-33509)
    Hoch · 7.5 CVE-2026-35464 <= 0.5.0b3 keine Korrektur
  11. pyLoad: Improper Neutralization of Special Elements used in an OS Command
    Hoch · 8.8 CVE-2026-35463 <= 0.5.0b3.dev96 keine Korrektur
  12. pyLoad: SSRF filter bypass via HTTP redirect in BaseDownloader (Incomplete fix for CVE-2026-33992)
    Kritisch CVE-2026-35459 <= 0.5.0b3.dev96 keine Korrektur
  13. pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter
    Hoch · 7.7 CVE-2026-35187 <= 0.5.0b3.dev96 keine Korrektur
  14. pyLoad: Server-Side Request Forgery via Download Link Submission Enables Cloud Metadata Exfiltration
    Kritisch CVE-2026-33992 <= 0.5.0b3.dev96 keine Korrektur
  15. pyLoad SETTINGS Permission Users Can Achieve Remote Code Execution via Unrestricted Reconnect Script Configuration
    Hoch · 7.5 CVE-2026-33509 >= 0.4.0, <= 0.5.0b3.dev96 keine Korrektur
  16. pyLoad has an Arbitrary File Write via Path Traversal in edit_package()
    Hoch · 7.1 CVE-2026-29778 >= 0.5.0b3.dev13, < 0.5.0b3.dev97 0.5.0b3.dev97
  17. pyLoad CNL and captcha handlers allow Code Injection via unsanitized parameters
    Hoch · 8.1 CVE-2025-61773 < 0.5.0b3.dev91 0.5.0b3.dev91
  18. Denial-of-Service attack in pyLoad CNL Blueprint using dukpy.evaljs
    Hoch CVE-2025-57751 < 0.5.0b3.dev92 0.5.0b3.dev92
  19. PyLoad vulnerable to SQL Injection via API /json/add_package in add_links parameter
    Hoch CVE-2025-55156 < 0.5.0b3.dev91 0.5.0b3.dev91
  20. pyLoad CNL Blueprint allows Path Traversal through `dlc_path` which leads to Remote Code Execution (RCE)
    Kritisch · 9.8 CVE-2025-54802 < 0.5.0b3.dev90 0.5.0b3.dev90
  21. `pyLoad` has Path Traversal Vulnerability in `json/upload` Endpoint that allows Arbitrary File Write
    Hoch · 7.5 CVE-2025-54140 >= 0.5.0b3.dev89, < 0.5.0b3.dev90 0.5.0b3.dev90
  22. pyLoad vulnerable to XSS through insecure CAPTCHA
    Kritisch · 9.8 CVE-2025-53890 < 0.20 0.20
  23. pyLoad is vulnerable to attacks that bypass localhost restrictions, enabling the creation of arbitrary packages
    Hoch · 7.5 CVE-2025-7346 <= 0.5.0b3.dev88 keine Korrektur
  24. pyLoad vulnerable to remote code execution by download to /.pyload/scripts using /flashgot API
    Hoch · 9.1 CVE-2024-47821 < 0.5.0b3.dev87 0.5.0b3.dev87
  25. pyload-ng vulnerable to RCE with js2py sandbox escape
    Kritisch · 9.8 CVE-2024-39205 <= 0.5.0b3.dev85 keine Korrektur
  26. pyLoad allows upload to arbitrary folder lead to RCE
    Kritisch · 9.1 CVE-2024-32880 <= 0.5.0 keine Korrektur
  27. Cross-Site Request Forgery on any API call in pyLoad may lead to admin privilege escalation
    Kritisch · 9.6 CVE-2024-22416 < 0.5.0b3.dev78 0.5.0b3.dev78
  28. pyload Unauthenticated Flask Configuration Leakage vulnerability
    Hoch · 7.5 CVE-2024-21644 < 0.5.0b3.dev77 0.5.0b3.dev77
  29. Download to arbitrary folder can lead to RCE
    Hoch · 7.6 CVE-2023-47890 < 0.5.0b3.dev75 0.5.0b3.dev75
  30. Improper Certificate Validation in pyload-ng
    Hoch · 7.4 CVE-2023-0509 < 0.5.0b3.dev44 0.5.0b3.dev44
  31. Excessive Attack Surface in pyload-ng
    Kritisch · 9.8 CVE-2023-0435 < 0.5.0b3.dev41 0.5.0b3.dev41
  32. Code Injection in pyload-ng dieser Eintrag
    Kritisch · 9.8 CVE-2023-0297 < 0.5.0b3.dev31 0.5.0b3.dev31

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.