Zaloguj się
Deutsch English Español Polski
Niska

pyLoad's Session Not Invalidated After Permission Changes

  • Ujawniono: 14.04.2026
  • Aktualizacja: 11.10.2026 12:19

Summary

The pyload application does not properly invalidate or modify sessions upon changes made to a user's permissions.

Details

Whenever an administrator changes the permissions a specific account has, they do not expect that account still being able to access data that their new permissions do not allow. This is not the case for the pyload application, as a user with a valid session can still perform the actions.

PoC

Take a user with all the permissions, as shown below. image

We now log in as this user. image

Let us now take away all the permissions. image

The logged in session can still be used to access everything in the application. image

Impact

Should permissions be taken away, then the user is expected not to be able to execute the actions belonging to those actions anymore.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) pyload-ng <= 0.5.0b3.dev97 brak poprawki

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
Słabość (CWE)
CWE-613
Platforma
Python (PyPI)
Paczka
pyload-ng
Ujawniono
14.04.2026
Aktualizacja
11.10.2026 12:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-fj52-5g4h-gmq8 - CC BY 4.0

Historia podatności: pyload-ng

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
01.2023 10.2026
Bez poprawki
24
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 9
  • Wysoka 23
  • Średnia 25
  • Niska 1

Ujawnienia w latach

Istotność:
  1. pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password
    Wysoka · 8.1 ghsa-68w4-83fh-f2w8 >= 0.5.0b3.dev1, <= 0.5.0b3.dev101 brak poprawki
  2. pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session
    Wysoka · 7.5 ghsa-jq7h-wrvp-3rgx <= 0.5.0b3.dev101 brak poprawki
  3. pyLoad: Api.set_user_permission never invalidates the target's session
    Wysoka · 7.5 ghsa-889w-m37p-88m5 >= 0.5.0b3.dev98, <= 0.5.0b3.dev101 brak poprawki
  4. pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
    Wysoka ghsa-fr26-jjhm-638c <= 0.5.0b3.dev101 brak poprawki
  5. pyLoad has an authentication bypass in API key validation (check_apikey cache)
    Wysoka · 8.1 ghsa-r44w-v6gf-x3p6 < 0.5.0b3.dev101 0.5.0b3.dev101
  6. pyLoad is vulnerable to stored XSS in Downloads view via unsanitized link URL in packages.js template literal
    Wysoka · 8.7 CVE-2026-45348 <= 0.5.0b3.dev99 brak poprawki
  7. PyLoad vulnerable to Path Traversal via Package Folder Name in set_package_data
    Wysoka · 8.1 CVE-2026-42315 < 0.5.0b3.dev100 0.5.0b3.dev100
  8. pyload-ng: non-admin SETTINGS users can redirect all outbound traffic through an attacker-controlled proxy via unrestricted `proxy.*` config (incomplete fix for CVE-2026-33509 / -35463 / -35464 / -35586)
    Wysoka · 8.3 CVE-2026-42313 < 0.5.0b3.dev100 0.5.0b3.dev100
  9. pyLoad's Session Not Invalidated After Permission Changes ten wpis
    Niska ghsa-fj52-5g4h-gmq8 <= 0.5.0b3.dev97 brak poprawki
  10. pyLoad has Stale Session Privilege After Role/Permission Change (Privilege Revocation Bypass)
    Wysoka · 8.8 CVE-2026-41133 <= 0.5.0b3.dev97 brak poprawki
  11. pyLoad: Unprotected storage_folder enables arbitrary file write to Flask session store and code execution (Incomplete fix for CVE-2026-33509)
    Wysoka · 7.5 CVE-2026-35464 <= 0.5.0b3 brak poprawki
  12. pyLoad: Improper Neutralization of Special Elements used in an OS Command
    Wysoka · 8.8 CVE-2026-35463 <= 0.5.0b3.dev96 brak poprawki
  13. pyLoad: SSRF filter bypass via HTTP redirect in BaseDownloader (Incomplete fix for CVE-2026-33992)
    Krytyczna CVE-2026-35459 <= 0.5.0b3.dev96 brak poprawki
  14. pyLoad: SSRF in parse_urls API endpoint via unvalidated URL parameter
    Wysoka · 7.7 CVE-2026-35187 <= 0.5.0b3.dev96 brak poprawki
  15. pyLoad: Server-Side Request Forgery via Download Link Submission Enables Cloud Metadata Exfiltration
    Krytyczna CVE-2026-33992 <= 0.5.0b3.dev96 brak poprawki
  16. pyLoad SETTINGS Permission Users Can Achieve Remote Code Execution via Unrestricted Reconnect Script Configuration
    Wysoka · 7.5 CVE-2026-33509 >= 0.4.0, <= 0.5.0b3.dev96 brak poprawki
  17. pyLoad has an Arbitrary File Write via Path Traversal in edit_package()
    Wysoka · 7.1 CVE-2026-29778 >= 0.5.0b3.dev13, < 0.5.0b3.dev97 0.5.0b3.dev97
  18. pyLoad CNL and captcha handlers allow Code Injection via unsanitized parameters
    Wysoka · 8.1 CVE-2025-61773 < 0.5.0b3.dev91 0.5.0b3.dev91
  19. Denial-of-Service attack in pyLoad CNL Blueprint using dukpy.evaljs
    Wysoka CVE-2025-57751 < 0.5.0b3.dev92 0.5.0b3.dev92
  20. PyLoad vulnerable to SQL Injection via API /json/add_package in add_links parameter
    Wysoka CVE-2025-55156 < 0.5.0b3.dev91 0.5.0b3.dev91
  21. pyLoad CNL Blueprint allows Path Traversal through `dlc_path` which leads to Remote Code Execution (RCE)
    Krytyczna · 9.8 CVE-2025-54802 < 0.5.0b3.dev90 0.5.0b3.dev90
  22. `pyLoad` has Path Traversal Vulnerability in `json/upload` Endpoint that allows Arbitrary File Write
    Wysoka · 7.5 CVE-2025-54140 >= 0.5.0b3.dev89, < 0.5.0b3.dev90 0.5.0b3.dev90
  23. pyLoad vulnerable to XSS through insecure CAPTCHA
    Krytyczna · 9.8 CVE-2025-53890 < 0.20 0.20
  24. pyLoad is vulnerable to attacks that bypass localhost restrictions, enabling the creation of arbitrary packages
    Wysoka · 7.5 CVE-2025-7346 <= 0.5.0b3.dev88 brak poprawki
  25. pyLoad vulnerable to remote code execution by download to /.pyload/scripts using /flashgot API
    Wysoka · 9.1 CVE-2024-47821 < 0.5.0b3.dev87 0.5.0b3.dev87
  26. pyload-ng vulnerable to RCE with js2py sandbox escape
    Krytyczna · 9.8 CVE-2024-39205 <= 0.5.0b3.dev85 brak poprawki
  27. pyLoad allows upload to arbitrary folder lead to RCE
    Krytyczna · 9.1 CVE-2024-32880 <= 0.5.0 brak poprawki
  28. Cross-Site Request Forgery on any API call in pyLoad may lead to admin privilege escalation
    Krytyczna · 9.6 CVE-2024-22416 < 0.5.0b3.dev78 0.5.0b3.dev78
  29. pyload Unauthenticated Flask Configuration Leakage vulnerability
    Wysoka · 7.5 CVE-2024-21644 < 0.5.0b3.dev77 0.5.0b3.dev77
  30. Download to arbitrary folder can lead to RCE
    Wysoka · 7.6 CVE-2023-47890 < 0.5.0b3.dev75 0.5.0b3.dev75
  31. Improper Certificate Validation in pyload-ng
    Wysoka · 7.4 CVE-2023-0509 < 0.5.0b3.dev44 0.5.0b3.dev44
  32. Excessive Attack Surface in pyload-ng
    Krytyczna · 9.8 CVE-2023-0435 < 0.5.0b3.dev41 0.5.0b3.dev41
  33. Code Injection in pyload-ng
    Krytyczna · 9.8 CVE-2023-0297 < 0.5.0b3.dev31 0.5.0b3.dev31

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.