Python ライブラリ yt-dlp < 2026.6.9 複数の脆弱性

high Nessus プラグイン ID 321527

Language:

概要

リモートホストにインストールされている Python ライブラリは、複数の脆弱性の影響を受けます。

説明

yt-dlp Pythonパッケージの検出されたバージョンは、 2026.6.9より前です。そのため、以下の複数の脆弱性の影響を受けます。

- yt-dlp に脆弱性が存在するため、リモートの攻撃者が、任意の OS ショートカットファイル(.desktop、.url、.webloc など)をユーザーのファイルシステムに書き込み、 CVE-2024-38519の修復をバイパスする可能性があります。
(CVE-2026-50023)

- aria2c が断片化されたマニフェスト形式(HLS/DASH ストリームなど)の外部ダウンローダーとして使用される場合、yt-dlp が十分にサニタイズされていない入力を aria2c に渡します。これにより、攻撃者が任意のファイル書き込みを実行する可能性があります。Windows プラットフォームでは、これにより任意のコードが即座に実行される可能性があります。非 Windows プラットフォームでは、これにより、yt-dlp の次回呼び出し時に任意のコードが実行される可能性があります。(CVE-2026-50574)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。