CVE-2026-45306
Publiée le 2026-05-28 · Dernière modification le 2026-06-17
Les gestionnaires de téléchargement pyLoad antérieurs à la version 0.5.0b3.dev100 sont affectés par une faille qui permet à un utilisateur connecté disposant de privilèges élevés d'accéder aux fichiers de session d'autres utilisateurs. En redirigeant le dossier de stockage vers le répertoire de session Flask du système, un attaquant peut voler des données de session pour prendre le contrôle d'autres comptes. Cette exploitation peut être réalisée via le réseau sans aucune interaction de la part des victimes, à condition que l'attaquant possède déjà un compte authentifié.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, the fix for CVE-2026-33509 prevents setting storage_folder inside PKGDIR or userdir, but does NOT protect the Flask session directory (/tmp/pyLoad/flask). An authenticated attacker can set storage_folder to the session directory and download session files of other users via /files/get/, leading to account takeover. This vulnerability is fixed in 0.5.0b3.dev100.