CVE-2026-123816

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev101

Description Existe uma falha de bypass de autenticação no mecanismo de cache de chaves de API. A função Api.check apikey() armazena validações bem-sucedidas em self. apikey cache utilizando apenas o key id, que é um número inteiro sequencial pequeno fornecido pelo usuário. Quando ocorre um acerto de cache dentro do tempo de vida de 300 segundos, o sistema retorna uma resposta de sucesso sem verificar o segredo da chave de API em relação ao hash armazenado através de hmac.compare digest(). Um invasor remoto não autenticado pode enumerar valores de key id ativos e usar uma chave de API forjada para herdar as permissões do proprietário da chave em cache.

Recommendations Atualize o pyLoad para a versão 0.5.0b3.dev101 ou posterior.