PT-2026-37264 · Pyload · Pyload

Sab44 · Publicado 2026-05-05 · Atualizado 2026-05-15 · CVE-2026-42315

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev100

Descrição A falta de sanitização na função set package data() permite que um usuário com permissões Perms.MODIFY especifique diretórios arbitrários como locais de download para um pacote. Isso ocorre ao passar o nome de uma pasta dentro do objeto de dados usando a variável folder, permitindo a travessia de caminho absoluto (absolute path traversal) para gravar arquivos em qualquer local onde o processo pyLoad tenha acesso de gravação.

Recomendações Atualize para a versão 0.5.0b3.dev100. Como medida paliativa temporária, restrinja o acesso à função set package data() ou evite usar a variável folder até que a atualização seja aplicada.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-36

CWE-22

Identificadores relacionados

CVE-2026-42315

GHSA-838G-GR43-QQG9

PYSEC-2026-129

Produtos afetados

Pyload

Referências · 9

• 🔥 https://github.com/pyload/pyload/security/advisories/GHSA-838g-gr43-qqg9 · Exploit
• https://github.com/pyload/pyload · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pyload-ng/PYSEC-2026-129.yaml · Nota
• https://t.me/cveNotify/163629 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42315 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-838g-gr43-qqg9 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-129 · Aviso do Fabricante
• https://t.me/cveNotify/163124 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2053932445909836046 · Publicação no Twitter