Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - yt-dlp は、コマンドラインのオーディオ/ビデオダウンローダーです。バージョン 2023.06.21 からバージョン 2026.02.21 より前に、yt-dlp の「--netrc-cmd」コマンドラインオプション(または「netrc_cmd」Python API パラメーター)が使用されている場合、攻撃者が、悪意を持って細工された URL を使って、ユーザーのシステムで任意のコマンドインジェクションを実行する可能性があります。
    yt-dlp メンテナーは、コマンド/構成で「--netrc-cmd」または Python スクリプトで「netrc_cmd」を使用するユーザーに対して、この脆弱性の影響は大きいと考えています。悪意をもって細工された URL 自体は多くのユーザーにとって非常に疑わしいように見えますが、目立たない URL を含む悪意をもって細工された Web ページが HTTP リダイレクトを介してこの脆弱性をこっそり悪用することは取るに足らないことです。引数に「--netrc-cmd」がないユーザーや、スクリプトに「netrc_cmd」がないユーザーは影響を受けません。この悪用が野放しで使用されている証拠は見つかっていません。yt-dlp バージョン 2026.02.21 は、すべての netrc マシンの値を検証し、予期しない入力でエラーを発生させることで、この問題を修正します。回避策として、アップグレードできないユーザーは「--netrc-cmd」コマンドラインオプション(または「netrc_cmd」Python API パラメーター)の使用を避けるか、少なくとも「--netrc-cmd」引数でプレースホルダー(「{}」)を受け渡さないようにする必要があります。(CVE-2026-26331)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-26331

high Nessus プラグイン ID 299954

バージョン 1.5