CVE-2026-123814

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev102

Description Um usuário autenticado não administrador com a permissão SETTINGS pode realizar um ataque de Server-Side Request Forgery (SSRF). Ao acessar o endpoint /json/save config, um invasor pode configurar o addon WindowsPhoneNotify definindo as variáveis pushurl, pushid e enabled. A função WindowsPhoneNotify.send() em src/pyload/plugins/addons/WindowsPhoneNotify.py utiliza http.client.HTTPConnection, que ignora a validação de destino padrão da aplicação. Quando um download é concluído, o servidor envia uma requisição HTTP POST cega para o host, porta e caminho internos especificados pelo invasor. Isso pode ser usado para sondar serviços internos, acessar endpoints de metadados de nuvem (como 169.254.169.254) ou acionar endpoints HTTP internos que alterem o estado.

Recommendations Atualize para a versão 0.5.0b3.dev102. Como mitigação temporária, restrinja a permissão SETTINGS apenas a contas confiáveis. Restrinja o acesso de rede do host pyLoad para evitar que ele alcance endpoints internos sensíveis.