Python Library yt-dlp < 2026.6.9 の複数の脆弱性

critical Nessus プラグイン ID 321527

Language:

概要

リモートホストにインストールされている Python ライブラリは、複数の脆弱性の影響を受けます。

説明

検出された yt-dlp Python パッケージのバージョンは、2026.6.9 より前です。そのため、以下の複数の脆弱性の影響を受けます。

yt-dlp には、リモート攻撃者がユーザーのファイルシステムに任意の OS ショートカットファイル (.desktop、.url、.webloc など) を書き込める脆弱性が存在し、CVE-2024-38519 に対する修正をバイパスする可能性があります。
(CVE-2026-50023)

- aria2c がフラグメント化されたマニフェスト形式 (HLS/DASH ストリームなど) の外部ダウンローダーとして使用される場合、yt-dlp は十分にサニタイズされていない入力を aria2c に渡すため、攻撃者が任意のファイル書き込みを行うことが可能です。Windows プラットフォームでは、これにより任意のコードが即座に実行される可能性があります。非 Windows プラットフォームでは、これにより、yt-dlp の次回呼び出し時に任意のコードが実行される可能性があります。(CVE-2026-50574)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。