Veille sécuritéBackend & données
P4Moyenne
Dans pyLoad avant 0.5.0b3.dev102, un utilisateur authentifié non administrateur disposant de la permission SETTINGS pouvait configurer une notification Windows Phone pour provoquer une requête HTTP POST du serveur vers une destination interne choisie. Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure.
Python
IdentifiantCVE-2026-123814
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.5.0b3.dev102
Source : NVD — CVE-2026-123814
Analyse technique
Le mécanisme de notification utilisait http.client.HTTPConnection sans la validation de destination appliquée ailleurs par pyLoad. La réponse n’était pas renvoyée à l’utilisateur, mais la requête pouvait sonder des services internes ou atteindre des points de terminaison à effets de bord.
Impact, versions et correctif
Événement datéLa publication NVD indiquée à 2026-11-09T22:18:37.780Z correspond au 2026-11-10 à 00:18:37.780+02:00, dans la période retenue.
ImpactUn utilisateur authentifié avec SETTINGS peut amener le serveur pyLoad à envoyer une requête vers une destination interne.
Versions affectéespyLoad antérieur à 0.5.0b3.dev102
Version corrigée0.5.0b3.dev102
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,14% · percentile 3,7%
Publication2026-11-09T22:18:37.780Z
Mise à jour2026-11-10T19:20:44.327Z
Action recommandée
Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).