FICHE CVE

CVE-2026-42315

Publiée le 2026-05-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du gestionnaire de téléchargement pyLoad peuvent exploiter un manque de nettoyage des entrées pour enregistrer des fichiers dans des répertoires arbitraires sur le serveur. Un attaquant disposant de permissions de compte de base (Perms.MODIFY) peut déclencher cette action via le réseau sans aucune interaction supplémentaire de l'utilisateur. Cela lui permet d'écraser des fichiers système sensibles, ce qui pourrait entraîner un plantage complet du système ou l'exécution à distance de code non autorisé.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

Traversée de répertoires · CWE-22 Traversée de répertoires absolue · CWE-36

Publiée2026-05-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, when passing a folder name in the set_package_data() API function call inside the data object with key "_folder", there is no sanitization at all, allowing a user with Perms.MODIFY to specify arbitrary directories as download locations for a package. This vulnerability is fixed in 0.5.0b3.dev100.