Python ライブラリ yt-dlp < 2026.7.4 コマンドインジェクション
high Nessus プラグイン ID 327412
Language:
概要
リモートホストにインストールされている Python ライブラリは、コマンドインジェクションの脆弱性による影響を受けます。説明
検出された yt-dlp Python パッケージのバージョンは、2026.7.4 より前です。このため、コマンドインジェクションの脆弱性の影響を受けます。yt-dlp および youtube-dl は、コマンドライン用のオーディオ/ビデオダウンローダーです。2026.7.4 より前のバージョンでは、--write-link、--write-url-link および --write-desktop-link オプションは、十分な検証またはエスケープなしに攻撃者が制御する webpage_url またはファイル名メタデータを使用して .url または .desktop のショートカットファイルに書き込む可能性があります。これにより、Windows での悪意のある file:// URI の注入、または生成されたショートカットが開かれた場合にコマンドを実行できる Linux 上の改行ベースのデスクトップエントリキーの注入が可能になります。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
yt-dlp をバージョン 2026.7.4 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 327412
ファイル名: python_yt_dlp_2026_7_4.nasl
バージョン: 1.3
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/16
更新日: 2026/7/17
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.14
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-55404
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:yt-dlp_project:yt-dlp
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/4
脆弱性公開日: 2026/7/4
参照情報
CVE: CVE-2026-55404
IAVB: 2026-B-0194