CVE-2026-123813

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev102

Description O pyLoad não invalida as sessões Flask ativas quando um administrador altera a senha ou as permissões de um usuário. Isso ocorre porque o sistema utiliza valores de função e permissão copiados para a sessão durante o login através da função set session() em webui/app/helpers.py, em vez de verificá-los no banco de dados a cada requisição. Consequentemente, um usuário pode manter privilégios revogados ou continuar utilizando uma sessão estabelecida com uma senha antiga durante o tempo de vida da sessão, que por padrão é de 44640 minutos.

Este problema é acionado ao utilizar os seguintes endpoints de API:

A autenticação via chaves de API não é afetada, pois recupera os dados do usuário diretamente do banco de dados em cada requisição.

Recommendations Atualize o pyLoad para a versão 0.5.0b3.dev102 ou posterior.