CVE-2026-109966
ŚrednieCVSS 5.3Streszczenie
yt-dlp-web-ui do wersji 4.0.0 zawiera podatność wstrzykiwania argumentów, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie opcji yt-dlp poprzez podanie parametru url z prefiksem myślnika do metody JSON-RPC Service.Formats. Atakujący mogą wysyłać wartości takie jak --load-info-json przez /rpc/http lub /rpc/ws, aby yt-dlp załadował wybrane przez atakującego pliki JSON z systemu plików serwera, a ich zawartość jest odzwierciedlana w odpowiedziach.
Ocena ryzyka
Ryzyko polega na możliwości odczytu dowolnych plików z serwera przez nieuwierzytelnionych atakujących, co może prowadzić do wycieku wrażliwych danych.
Rekomendacja
Zaleca się aktualizację yt-dlp-web-ui do wersji nowszej niż 4.0.0, która eliminuje tę podatność. Należy również ograniczyć dostęp do interfejsu JSON-RPC.
Inne podatności w yt-dlp-web-ui
Zobacz wszystkie- CVE-2026-109967Wysokie
yt-dlp-web-ui w wersjach do 4.0.0 zawiera podatność dereferencji wskaźnika NULL w metodzie JSON-RPC Service.Formats, która pozwala zdalnym nieuwierzytelnionym atakującym na zawieszenie serwera. Atakujący mogą wysłać pojedyncze żądanie z wartością url taką jak --version, powodując nieprawidłowe wyjście JSON yt-dlp i nieodwracalną panikę, która kończy proces.
- CVE-2026-93371Wysokie
W marcopiovanello yt-dlp-web-ui do wersji v4 wykryto podatność bezpieczeństwa. Dotyczy ona funkcji NewGenericDownload w pliku server/internal/downloaders/generic.go. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897.
Oryginalny opis (angielski, źródło NVD)
yt-dlp-web-ui through 4.0.0 contains an argument injection vulnerability that allows unauthenticated remote attackers to inject yt-dlp options by supplying a dash-prefixed url parameter to the Service.Formats JSON-RPC method. Attackers can send values like --load-info-json via /rpc/http or /rpc/ws to make yt-dlp load attacker-chosen JSON files from the server filesystem, with contents reflected in responses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS