Pyload 漏洞列表

pyload是用纯 Python 编写的免费开源下载管理器。 pyload的 js2py.disable_pyimport() 组件中存在一个问题，该问题允许攻击者通过精心设计的 API 调用执行任意代码。

pyLoad 存在代码注入漏洞，未经身份验证的攻击者可以通过滥用 js2py 功能执行任意Python代码。 影响版本 pyLoad <= 0.4.20 另外，小于0.5.0b3.dev31版本的pyLoad开发版本也受此漏洞影响。 Fofa: icon_hash="77699822" || icon_hash="-272805727" || icon_hash="2055939329"

命令执行漏洞是指攻击者通过构造特定的请求，使得服务器端执行非预期的命令，从而可能导致未授权的数据访问、权限提升、服务中断等严重后果。这种漏洞通常由于应用程序对用户输入的验证不充分或者对外部命令调用缺乏必要的安全控制而产生。

Code Injection in GitHub repository pyload/pyload prior to 0.5.0b3.dev31.

pyLoad is the free and open-source Download Manager written in pure Python. Any unauthenticated user can browse to a specific URL to expose the Flask config, including the `SECRET_KEY` variable. This issue has been patched in version 0.5.0b3.dev77.

A log injection vulnerability was identified in pyload. This vulnerability allows any unauthenticated actor to inject arbitrary messages into the logs gathered by pyload.

An issue in the component js2py.disable_pyimport() of js2py up to v0.74 allows attackers to execute arbitrary code via a crafted API call.

pyLoad是一款使用纯Python编写的免费开源下载管理器。未经身份验证的用户可以浏览特定的URL以暴露Flask配置，包括SECRET_KEY变量

pyLoad是pyLoad开源的一个用 Python 编写的免费开源下载管理器。 pyLoad 0.5.0版本存在操作系统命令注入漏洞，该漏洞源于不当的权限处理，允许攻击者通过更改下载文件夹为/scripts路径并使用/flashgot API下载可执行文件,来实现远程代码执行。

pyload是一个用 Python 编写的免费开源下载管理器。Pyload存在日志注入漏洞。此漏洞是由于对用户发送的请求缺乏校验导致的。

pyload 是 Python 编写的开源下载管理器。pyLoad中存在信息泄露漏洞，当用户访问/render/info.html时，触发此漏洞。

任何未经身份验证的用户都可以浏览到特定的URL以公开Flask配置，包括“SECRET_KEY”变量。此问题已在0.5.0b3.dev77版本中进行了修补。

pyLoad是一个用 Python 编写的免费和开源下载管理器，可用于NAS、下一代路由器、无头家庭服务器以及任何能够连接到互联网并支持 Python编程语言的设备。pyLoad 存在代码注入漏洞，未经身份验证的攻击者可以通过滥用 js2py 功能执行任意 Python 代码