CVE-2026-75597

pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo

CVSS 3.1Medium

5.3/ 10.0

Опубликовано

9 октября 2026 г.

Обновлено

9 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.5.0b3.dev101

Обновите pyLoad до версии 0.5.0b3.dev101 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход аутентификации на эндпоинте /web/<path:filename> и утечка внутренних переменных Jinja2 в pyLoad.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Маршрут /web/<path:filename> в src/pyload/webui/app/blueprints/app_blueprint.py рендерит шаблоны Jinja2 без проверки сессии. Опечатка exc.desc в src/pyload/webui/app/handlers.py вызывает HTTP 500 и раскрывает внутренние переменные шаблонизатора.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неавторизованный просмотр закрытых Jinja2-шаблонов (/logs, /settings, /queue) и раскрытие отладочной информации.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

pyloadpyload

все ранние➔Fix: 0.5.0b3.dev101

——

>= 0➔Fix: 0.5.0b3.dev101

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-75597: pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo. URL: https://cve.futuretools.ru/cve/CVE-2026-75597

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_75597,
  title = {{CVE-2026-75597: pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-75597}},
  note = {Оперативный инженерный анализ киберугроз}
}