GHSA-p3pr-8f3m-4qp8 — дополнение WindowsPhoneNotify для pyLoad: пользователь без прав администратора с разрешением SETTINGS вызывает SSRF через незащищённый хост уведомлений http.client

Дополнение WindowsPhoneNotify в pyLoad напрямую получает хост для уведомлений из конфигурационного значения pushurl. Аутентифицированный пользователь без прав администратора, имеющий разрешение SETTINGS, может настроить хост и путь и заставить pyLoad отправлять слепые HTTP POST-запросы на внутренние адреса.