CVE-2024-22416

Rapport de référence : GHSA-pgpj-v85q-h5fm

Ce dépôt contient une configuration docker compose qui met en place à la fois un serveur pyLoad et un serveur attaquant qui fournit simplement un csrf.html. Pour tester vous-même, exécutez simplement docker composer up (vous devez avoir docker composer installé en plus de docker).

Ensuite, commencez par aller sur localhost:8000, qui est la page de connexion pyLoad, et connectez-vous avec l'utilisateur pyload et le mot de passe pyload. Puis, allez sur localhost:8001/csrf.html, cela soumettra instantanément une requête cross-site à l'API pyLoad et ajoutera un utilisateur appelé « hacker ». Vous pouvez vérifier que cela a fonctionné en allant dans Paramètres > Utilisateurs et en remarquant que l'utilisateur « hacker » a été ajouté !