中国·开yun体育(官方)入口-APP下载安装·Maigoo百科

关于pyLoad未授权访问漏洞(CVE-2024-21644)的安全告知

时间:2024-03-25 18:04:13来源:信息安全服务部作者:开yun体育官网入口

pyLoad是一款使用纯Python编写的免费开源下载管理器,自带 Web 管理面板,易于扩展,不仅支持直接下载直链,而且也可以从网站中解析出文件/视频进行下载。

漏洞详情
pyLoad存在未授权访问漏洞(CVE-2024-21644),未经身份验证的用户可以浏览特定的URL以暴露Flask配置,包括`SECRET_KEY`变量。此问题已在版本0.5.0b3.dev77中修复。

影响范围
0.5.0a5.dev528<=pyload-ng<0.5.0b3.dev76

漏洞复现
image006.png

修复建议
厂商已发布漏洞修复版本,请根据厂商修复建议进行修复

产品支持
云安服-安全监测平台:默认支持该产品的指纹识别,已更新漏洞检测规则,已支持该漏洞的在线检测。

参考链接
https://github.com/pyload/pyload/commit/bb22063a875ffeca357aaf6e2edcd09705688c40

XML 地图