CVE-2026-93371
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 70 - wyżej niż 70% wszystkich znanych CVE
Streszczenie
W marcopiovanello yt-dlp-web-ui do wersji v4 wykryto podatność bezpieczeństwa. Dotyczy ona funkcji NewGenericDownload w pliku server/internal/downloaders/generic.go. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897.
Ocena ryzyka
Podatność umożliwia zdalne wstrzyknięcie poleceń, co może prowadzić do wykonania dowolnego kodu na serwerze i pełnego przejęcia systemu.
Rekomendacja
Należy zastosować poprawkę c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897 w celu usunięcia podatności.
Inne podatności w yt-dlp-web-ui
Zobacz wszystkie- CVE-2026-109967Wysokie
yt-dlp-web-ui w wersjach do 4.0.0 zawiera podatność dereferencji wskaźnika NULL w metodzie JSON-RPC Service.Formats, która pozwala zdalnym nieuwierzytelnionym atakującym na zawieszenie serwera. Atakujący mogą wysłać pojedyncze żądanie z wartością url taką jak --version, powodując nieprawidłowe wyjście JSON yt-dlp i nieodwracalną panikę, która kończy proces.
- CVE-2026-109966Średnie
yt-dlp-web-ui do wersji 4.0.0 zawiera podatność wstrzykiwania argumentów, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie opcji yt-dlp poprzez podanie parametru url z prefiksem myślnika do metody JSON-RPC Service.Formats. Atakujący mogą wysyłać wartości takie jak --load-info-json przez /rpc/http lub /rpc/ws, aby yt-dlp załadował wybrane przez atakującego pliki JSON z systemu plików serwera, a ich zawartość jest odzwierciedlana w odpowiedziach.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in marcopiovanello yt-dlp-web-ui up to v4. This issue affects the function NewGenericDownload of the file server/internal/downloaders/generic.go. Such manipulation of the argument params leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. The name of the patch is c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897. A patch should be applied to remediate this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS