关于pyLoad未授权访问漏洞(CVE-2024-21644)的安全告知
时间：2024-03-25 18:04:13来源：信息安全服务部作者：开yun体育官网入口
pyLoad是一款使用纯Python编写的免费开源下载管理器，自带 Web 管理面板，易于扩展，不仅支持直接下载直链，而且也可以从网站中解析出文件/视频进行下载。
漏洞详情
pyLoad存在未授权访问漏洞(CVE-2024-21644)，未经身份验证的用户可以浏览特定的URL以暴露Flask配置，包括`SECRET_KEY`变量。此问题已在版本0.5.0b3.dev77中修复。
影响范围
0.5.0a5.dev528<=pyload-ng<0.5.0b3.dev76
漏洞复现
修复建议
厂商已发布漏洞修复版本，请根据厂商修复建议进行修复
产品支持
云安服-安全监测平台：默认支持该产品的指纹识别，已更新漏洞检测规则，已支持该漏洞的在线检测。
参考链接
https://github.com/pyload/pyload/commit/bb22063a875ffeca357aaf6e2edcd09705688c40