Podatności yt-dlp-web-ui

yt-dlp-web-ui w wersjach do 4.0.0 zawiera podatność dereferencji wskaźnika NULL w metodzie JSON-RPC Service.Formats, która pozwala zdalnym nieuwierzytelnionym atakującym na zawieszenie serwera. Atakujący mogą wysłać pojedyncze żądanie z wartością url taką jak --version, powodując nieprawidłowe wyjście JSON yt-dlp i nieodwracalną panikę, która kończy proces.

yt-dlp-web-ui do wersji 4.0.0 zawiera podatność wstrzykiwania argumentów, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie opcji yt-dlp poprzez podanie parametru url z prefiksem myślnika do metody JSON-RPC Service.Formats. Atakujący mogą wysyłać wartości takie jak --load-info-json przez /rpc/http lub /rpc/ws, aby yt-dlp załadował wybrane przez atakującego pliki JSON z systemu plików serwera, a ich zawartość jest odzwierciedlana w odpowiedziach.

W marcopiovanello yt-dlp-web-ui do wersji v4 wykryto podatność bezpieczeństwa. Dotyczy ona funkcji NewGenericDownload w pliku server/internal/downloaders/generic.go. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897.