CVE-2026-109967
WysokieCVSS 7.5Streszczenie
yt-dlp-web-ui w wersjach do 4.0.0 zawiera podatność dereferencji wskaźnika NULL w metodzie JSON-RPC Service.Formats, która pozwala zdalnym nieuwierzytelnionym atakującym na zawieszenie serwera. Atakujący mogą wysłać pojedyncze żądanie z wartością url taką jak --version, powodując nieprawidłowe wyjście JSON yt-dlp i nieodwracalną panikę, która kończy proces.
Ocena ryzyka
Atakujący może zdalnie wywołać awarię serwera bez uwierzytelnienia, powodując odmowę usługi. Może to zakłócić dostępność usługi i wpłynąć na operacje zależne od yt-dlp-web-ui.
Rekomendacja
Zaktualizuj yt-dlp-web-ui do wersji nowszej niż 4.0.0, jeśli jest dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do interfejsu JSON-RPC lub wdrożenie uwierzytelniania.
Inne podatności w yt-dlp-web-ui
Zobacz wszystkie- CVE-2026-109966Średnie
yt-dlp-web-ui do wersji 4.0.0 zawiera podatność wstrzykiwania argumentów, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie opcji yt-dlp poprzez podanie parametru url z prefiksem myślnika do metody JSON-RPC Service.Formats. Atakujący mogą wysyłać wartości takie jak --load-info-json przez /rpc/http lub /rpc/ws, aby yt-dlp załadował wybrane przez atakującego pliki JSON z systemu plików serwera, a ich zawartość jest odzwierciedlana w odpowiedziach.
- CVE-2026-93371Wysokie
W marcopiovanello yt-dlp-web-ui do wersji v4 wykryto podatność bezpieczeństwa. Dotyczy ona funkcji NewGenericDownload w pliku server/internal/downloaders/generic.go. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897.
Oryginalny opis (angielski, źródło NVD)
yt-dlp-web-ui through 4.0.0 contains a NULL pointer dereference vulnerability in the Service.Formats JSON-RPC method that allows remote unauthenticated attackers to crash the server. Attackers can send a single request with a url value like --version, causing invalid yt-dlp JSON output and an unrecovered panic that terminates the process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS