PT-2026-40426 · Pyload · Pyload

Nssys · Publicado 2026-05-12 · Atualizado 2026-05-28 · CVE-2026-45306

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas pyLoad (versões afetadas não especificadas)

Descrição Um invasor autenticado com privilégios administrativos pode realizar o sequestro de contas ao roubar arquivos de sessão de outros usuários. O problema ocorre porque o software não impede que a variável storage folder seja configurada para o diretório de sessão do Flask, geralmente localizado em '/tmp/pyLoad/flask'. Ao definir o storage folder para este caminho, um invasor pode usar o endpoint '/files/get/' para baixar arquivos de sessão, permitindo a personificação de outros usuários.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-706

Identificadores relacionados

CVE-2026-45306

GHSA-W727-595X-PC3R

Produtos afetados

Pyload

Referências · 9

• 🔥 https://github.com/pyload/pyload/security/advisories/GHSA-w727-595x-pc3r · Exploit
• https://github.com/pyload/pyload · Nota
• https://osv.dev/vulnerability/GHSA-w727-595x-pc3r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45306 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2060092982947103114 · Publicação no Twitter
• https://twitter.com/Ali_Saifeldin/status/2054231009865175258 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2060091976901423479 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2060117933477466252 · Publicação no Twitter
• https://github.com/advisories/GHSA-r7mc-x6x7-cqxx · Nota