目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-123815— pyLoad tar 解压未过滤设备节点与 FIFO 漏洞

一分钟漏洞结论

影响对象
pyload pyload
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

pyLoad 是一款用 Python 编写的免费开源下载管理器。在 0.5.0b3.dev102 版本之前，位于 的 方法虽然会验证归档成员的路径和链接目标，但在调用 之前，并未通过 来拒绝特殊类型的归档成员。在支持的 Python 3.9 至 3.13 运行时环境中， 模块默认使用完全信任的提取过滤器（ ）。因此，拥有 和 权限的用户可以触发对包含字符设备、块设备或 FIFO（命名管道）的恶意构造归档进行提取。Python 3.14 默认改用安全的提取过滤器。当 pyLoad 以允许创建设备的操作系统权限运行时（

CVSS 9.4 · Critical
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-123815 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)
来源: CVE Program / CVE List V5
Vulnerability Description
pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev102, UnTar._safe_extractall in src/pyload/plugins/extractors/UnTar.py validates archive member paths and link targets but does not call TarInfo.isdev to reject special tar member types before calling tarfile.extractall. On supported Python 3.9 through 3.13 runtimes, tarfile defaults to the fully_trusted extraction filter, so a user with ADD and STATUS permissions can cause extraction of a crafted archive containing character devices, block devices, or FIFOs. Python 3.14 defaults to a safe extraction filter. When pyLoad runs with operating-system privileges that permit device creation, including the official root-based Docker deployment, the archive can expose raw devices and compromise the host. Non-root deployments can still create FIFOs that cause hangs or IPC confusion. This issue is fixed in version 0.5.0b3.dev102.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
来源: CVE Program / CVE List V5
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
pyload pyload < 0.5.0b3.dev102 -

二、漏洞 CVE-2026-123815 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-123815 的情报信息

请登录查看更多情报信息。

CVE-2026-123815 其他参考 (2)

同批安全公告 · pyload · 2026-11-09 · 共 4 条

CVE-2026-123816 8.1 HIGH pyLoad API 密钥验证认证绕过漏洞
CVE-2026-123813 7.5 HIGH pyLoad REST API 权限撤销与密码修改会话未失效漏洞
CVE-2026-123814 6.4 MEDIUM pyLoad WindowsPhoneNotify 插件非管理员 SSRF 漏洞

IV. Related Vulnerabilities

Same product: pyload
Same vendor: pyload
Same weakness: CWE-22