CVE-2026-55404

WysokieCVSS 7.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.55%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

W yt-dlp i youtube-dl przed wersją 2026.7.4 opcje --write-link, --write-url-link i --write-desktop-link zapisują pliki .url lub .desktop, używając danych metadata (webpage_url lub filename) bez odpowiedniej walidacji. Umożliwia to wstrzyknięcie złośliwego URI file:// w systemie Windows lub wstrzyknięcie klucza wpisu pulpitu opartego na znaku nowej linii w systemie Linux, co może prowadzić do wykonania poleceń po otwarciu wygenerowanego skrótu.

Ocena ryzyka

Organizacja narażona jest na ryzyko zdalnego wykonania kodu (RCE) na stacjach Windows i Linux, gdy użytkownik otworzy złośliwy plik skrótu wygenerowany przez narzędzie. Atakujący może wykorzystać tę podatność do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Niezwłocznie zaktualizuj yt-dlp do wersji 2026.7.4 lub nowszej. Unikaj używania opcji --write-link, --write-url-link i --write-desktop-link w starszych wersjach, dopóki nie zostanie zastosowana aktualizacja.

Inne podatności w yt-dlp

CVE-2023-35934Średnie
Podatność w yt-dlp pozwala na wyciek ciasteczek podczas pobierania plików, co może prowadzić do nieautoryzowanego dostępu do danych. Problem dotyczy wersji przed 2023.07.06 oraz nocnych wydań przed 2023.07.06.185519, z wyjątkiem `curl` i `httpie` w wersji 3.1.0 lub nowszej.

Oryginalny opis (angielski, źródło NVD)

yt-dlp and youtube-dl are command-line audio/video downloaders. Prior to 2026.7.4, the --write-link, --write-url-link, and --write-desktop-link options can write .url or .desktop shortcut files using attacker-controlled webpage_url or filename metadata without sufficient validation or escaping, allowing malicious file:// URI injection on Windows or newline-based desktop entry key injection on Linux that can execute commands if the generated shortcut is opened. This issue is fixed in version 2026.7.4.