CVE-2024-32880

pyload: RCE przez upload złośliwego szablonu przez uwierzytelnionego użytkownika

CVSS 9.1v3.1pub. 2024-04-26upd. 2025-09-04

Uwierzytelniony użytkownik aplikacji pyload może doprowadzić do zdalnego wykonania kodu (RCE) poprzez zmianę folderu pobierania i wgranie spreparowanego szablonu. Podatność jest krytyczna i w momencie publikacji nie posiadała dostępnej poprawki.

▸ Pokaż oryginał (EN)

pyload is an open-source Download Manager written in pure Python. An authenticated user can change the download folder and upload a crafted template to the specified folder lead to remote code execution. There is no fix available at the time of publication.

🤖 Analiza AI

Jak działa

Atakujący z dostępem do konta użytkownika w pyload zmienia konfigurację wskazującą folder pobierania na dowolną lokalizację. Następnie uploaduje spreparowany plik szablonu (CWE-434: Unrestricted Upload of File with Dangerous Type) do wskazanego folderu. Wgrany szablon jest następnie przetwarzany przez aplikację, co prowadzi do wykonania zawartego w nim złośliwego kodu po stronie serwera.

Skutki

Atakujący może uzyskać zdalne wykonanie kodu (RCE) na serwerze hostującym aplikację pyload, co potencjalnie umożliwia przejęcie pełnej kontroli nad systemem, dostęp do poufnych danych oraz dalsze działania w infrastrukturze.

Mitygacja

W momencie publikacji CVE nie była dostępna żadna poprawka. Należy monitorować repozytorium projektu (https://github.com/pyload/pyload) i zastosować patch niezwłocznie po jego udostępnieniu. Do czasu pojawienia się poprawki zaleca się ograniczenie dostępu do interfejsu pyload wyłącznie do zaufanych użytkowników oraz izolację serwera na poziomie sieci (firewall).