CVE-2024-22416

参考レポート: GHSA-pgpj-v85q-h5fm

このリポジトリには、pyLoadサーバーと、csrf.htmlを提供するだけの攻撃者サーバーの両方をセットアップするdocker compose設定が含まれています。自分でテストするには、docker composer upを実行してください（dockerに加えてdocker composeがインストールされている必要があります）。

次に、localhost:8000（pyLoadのログインページ）にアクセスし、ユーザー pyload、パスワード pyload でログインしてください。その後、localhost:8001/csrf.html にアクセスすると、これは即座にpyLoad APIへのクロスサイトリクエストを送信し、"hacker"というユーザーを追加します。設定 > ユーザー に移動して、"hacker"ユーザーが追加されていることを確認できます。