CVE-2026-75597

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev101

Description O endpoint /web/<path:filename> em src/pyload/webui/app/blueprints/app blueprint.py renderiza templates Jinja2 sem exigir autenticação, ignorando a proteção @login required aplicada a rotas diretas como /logs, /settings, /queue e /dashboard. Além disso, um erro de digitação em src/pyload/webui/app/handlers.py, onde exc.desc é utilizado em vez de exc.description, faz com que a aplicação vaze nomes de variáveis internas do Jinja2 nos corpos de resposta HTTP 500. Um invasor também pode enumerar nomes de templates válidos ao analisar a diferença entre os códigos de resposta HTTP 200 e 500.

Recommendations Atualize o pyLoad para a versão 0.5.0b3.dev101 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint /web/<path:filename> para evitar a renderização de templates e o vazamento de informações sem autenticação.