mpv開発者による報告：

0.28.0までのmpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルのホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使って任意のコードを実行する可能性があります。たとえば、av: //lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。
この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。

検出

FreeBSD: mpv -- 細工されたWebサイトによる任意コード実行（3ee6e521-0d32-11e8-99b0-d017c2987f9a）

high Nessus プラグイン ID 106734

変更ログが見つかりません