PT-2025-29530 · Pyload · Pyload

Odaysec · Publicado 2025-07-14 · Atualizado 2025-07-29 · CVE-2025-53890

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do pyload anteriores a 0.5.0b3.dev89

Descrição O pyload é um Gerenciador de Downloads de código aberto escrito em Python puro. Uma vulnerabilidade de avaliação insegura de JavaScript no código de processamento de CAPTCHA do pyLoad permite que atacantes remotos não autenticados executem código arbitrário no navegador do cliente e potencialmente no servidor backend. A exploração não requer interação do usuário ou autenticação e pode resultar em sequestro de sessão, roubo de credenciais e execução remota de código em todo o sistema.

Recomendações Atualize para a versão 0.5.0b3.dev89, que inclui o commit 909e5c97885237530d1264cfceb5555870eb9546 para resolver o problema.

Exploit

Correção

RCE

Code Injection

XSS

Enumeração de Fraquezas

CWE-94

CWE-79

Identificadores relacionados

CVE-2025-53890

GHSA-8W3F-4R8F-PF53

Produtos afetados

Pyload

Referências · 17

• 🔥 https://github.com/pyload/pyload/security/advisories/GHSA-8w3f-4r8f-pf53 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53890.json · Exploit
• https://github.com/pyload/pyload · Nota
• https://github.com/pyload/pyload/pull/4586 · Nota
• https://github.com/pyload/pyload/commit/909e5c97885237530d1264cfceb5555870eb9546 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-53890 · Nota de Segurança
• https://twitter.com/vulert_official/status/1945731373219594650 · Publicação no Twitter
• https://twitter.com/jmdevlabs/status/1950223314732896402 · Publicação no Twitter
• https://twitter.com/cracbot/status/1946887850651496639 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-53890 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1944929029720826065 · Publicação no Twitter
• https://twitter.com/CCBalert/status/1945140414375174644 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1944912371069141443 · Publicação no Twitter
• https://twitter.com/SecAideInfo/status/1945789912751452572 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8w3f-4r8f-pf53 · Aviso do Fabricante