Vulnerabilidad en pyload (CVE-2026-33509)

pyLoad es un gestor de descargas gratuito y de código abierto escrito en Python. Desde la versión 0.4.0 hasta antes de la versión 0.5.0b3.dev97, el endpoint de la API set_config_value() permite a los usuarios con el permiso SETTINGS (no-administrador) modificar cualquier opción de configuración sin restricción. La opción de configuración reconnect.script controla una ruta de archivo que se pasa directamente a subprocess.run() en la lógica de reconexión del gestor de hilos. Un usuario con permiso SETTINGS puede establecer esto a cualquier archivo ejecutable en el sistema, logrando la ejecución remota de código. La única validación en set_config_value() es una comprobación codificada para general.storage_folder — todas las demás configuraciones críticas de seguridad, incluyendo reconnect.script, son escribibles sin ninguna lista blanca o restricción de ruta. Este problema ha sido parcheado en la versión 0.5.0b3.dev97.