Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Streamlink 是一個 CLI 實用程序，可將來自各種服務的視頻流通過管道傳輸到視頻播放器中。在之前 8.6.0，HTTPSession 會掛載檔案配置的 FileAdapter，並從要求繼承重新導向處理。不拒絕跨通訊協定重新導向的工作階段。控制 Streamlink 到達的 HTTP 或 HTTPS URL 的遠端伺服器可以傳回重新導向至本機檔案 URL，導致 HTTPSession 讀取本機檔案並將其內容傳回給回應消費者。這會繞過針對 HLS 和 DASH 內容新增的直接檔案 URL 檢查，因為資訊清單包含一般網路 URL，且配置轉換會在稍後擷取處理期間發生。此缺陷適用於透過 HTTPSession 提出的每個要求，而區段擷取可以將本機檔案內容放入串流輸出中。8.6.0 版已修正此問題。
    (CVE-2026-92164)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Streamlink 是一个 CLI 实用程序，它将来自各种服务的视频流输送到视频播放器中。在版本之前 8.6.0，HTTPSession 会挂载文件方案的 FileAdapter 并从请求继承重定向处理。不拒绝跨协议重定向的会话。控制 Streamlink 所接触之 HTTP 或 HTTPS URL 的远程服务器可返回对本地文件 URL 的重定向，造成 HTTPSession 读取本地文件并将其内容返回给响应使用者。这绕过了针对 HLS 和 DASH 内容添加的直接文件 URL 检查，因为清单包含普通网络 URL，并且方案转换稍后会在提取处理期间发生。此缺陷适用于通过 HTTPSession 发出的所有请求，段提取可将本地文件内容放置到流输出中。此问题已在 8.6.0 版本中修复。
    (CVE-2026-92164)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 43 ホストには、FEDORA-2026-d8cf5f20d7 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ## streamlink 8.6.2 (2026 年 10 月 7 日)

    - セキュリティ:DASH「Location」タグの「file://」URL を介した任意のローカルファイルの読み取りを修正しました(「CVE-2026-TO-BE-ASSIGNED」/['GHSA-j7pf-m7gx-jr33'](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))(['98781761'](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - 「re:test()」、「re:match()」、「re:re:replace()」の正規表現関数へのアクセスを含めるために、「validate.xml_xpath()」および「validate.xml_xpath_string()」を変更しました([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - 変更済み:廃止予定警告のログフォーマット([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:すでに非推奨の CLI 引数に対する非推奨の警告がありません(req. Python 3.13+)([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:「SegmentedStreamReader」ストリームを最初に開かずに閉じることができ、ガベージコレクションでログレコードを出力する([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - 更新済みプラグイン:
      - blazetv:ライブストリームを修正しました([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup:Bloomberg HT を修正しました([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan:プラグインを修正しました([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook:新しい実装でプラグインを再導入しました([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo:プラグインを書き直し、修正しました([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua:新しいプラグインを追加しました([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs:AI 支援のコントリビューションとセキュリティ脆弱性レポートに関するルールを強化しました([#7136](https://github.com/streamlink/streamlink/pull/7136)、[#7152](https://github.com/streamlink/streamlink/pull/7152))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026 年 9 月 16 日)

    - 修正済み:urllib3 2.8.0 との互換性([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## ストリームリンク 8.6.0 (2026 年 9 月 13 日)

    - セキュリティ:「file://」URL への HTTP(S) リダイレクトを介した任意のローカルファイルの読み取りを修正しました(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - セキュリティ:安全でないクロススキームリダイレクトを修正しました(HTTPS -> HTTP)(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - 追加:Python 3.15 の公式サポート([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - 追加:HLS パックオーディオストリームのサポート([#7083](https://github.com/streamlink/streamlink/pull/7083)、[#7082](https://github.com/streamlink/streamlink/pull/7082))
    - 追加:「HLSSegment。{get,iter}_content()」と「HLSStreamWriter」を記述します。{get,iter}_segment_content()' にセグメントデータを変更できるようにします([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - 「FFMPEGMuxer」に対する「itsoffset」オプションを追加([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - 追加:「nextjs_inline_rsc()」を「検証」します([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - 修正済み:すべてのインターフェイスに対する「--player-http」/「--player-continuous-http」バインドのHTTPサーバー([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - 修正済み:HLS 日付範囲のゼロまたは負の期間値([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - 修正済み:DASH「SegmentTimeline.S」ノードにおける不適切な「t」属性評価([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - 更新済みプラグイン:
      - ard_live:プラグインを削除しました([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek:プラグインを書き直し、修正しました([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer:リファクタリングされたストリーム取得([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo:Bigo の Web 保護のため、MPEG-TS パケットヘッダーの復号化を追加しました([#7056](https://github.com/streamlink/streamlink/pull/7056)、 [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo:アカウント要件を回避しました([#7106](https://github.com/streamlink/streamlink/pull/7106)、[#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg:player\_url スキーマを修正しました([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu:非同期クロックのあるシステムでの API 呼び出しの失敗を修正しました([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon:URL マッチャーを更新し、v2 API に切り替えました([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame:ストリーム取得を修正しました([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick:VOD を修正しました([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv:ストリームへのアクセスを修正しました([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru:メタデータスキーマを修正しました([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel:プラグインを削除しました([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto:URL マッチャー、チャネル ID リゾルバーおよび VOD を修正しました([#7048](https://github.com/streamlink/streamlink/pull/7048)、[#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok:元のストリームにアクセスするためにストリームデータスキーマを書き直し、修正しました([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch:ポートレート形式のストリームのサポートを追加しました([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch:カテゴリストリームメタデータの欠落による全ストリームメタデータ破壊を修正しました([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio:プラグインを書き直し、修正しました([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek:プラグインを書き直し、修正しました([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - 依存関係:lxml の最小バージョン要件を「5.0.0」に更新しました([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026 年 8 月 1 日)

    - 修正済み:指定されたパイププレーヤーの入力が、プリオープンの失敗時にクリーンアップされていません([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - 修正済み:HLS でストリーム開始オフセットが int に不適切にキャストされていました([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - 修正済み:「hls-playlist-reload-time」が浮動小数点を受け入れません([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - リファクタリング:「HTTPSession」で多数のタイピング問題を修正しました([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - リファクタリング:属性名前空間を許可するための DASH マニフェストパーサーの「MPDNode」([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - 更新済みプラグイン:
      - douyin:検証スキーマを修正しました([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu:新しい実装でプラグインを再導入しました([#6959](https://github.com/streamlink/streamlink/pull/6959)、[#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm:アクセストークンで VOD/組み込みストリームのサポートを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos:プラグインを書き直し、修正しました([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko:live\_url 値を修正しました([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo:プラグインを削除しました([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca:新しいプラグインを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs:Twitch の高品質ストリームの要件を明確にしました([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - テスト:Python 3.15 beta 1 以降のテスト失敗を修正しました([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - セキュリティ:GitHubリリースを変更不可にしました([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - セキュリティ:すべてのGitHubアクションをコミット ID に固定しました([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - セキュリティ:すべての CI ワークフローおよびビルドリリースアセットに対して、uv ロックファイルに切り替えました([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - その他:タールボールとホイールを解放するために、あらかじめ構築された FISH シェルの完了を追加しました([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-6ffee677d1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ## streamlink 8.6.2 (2026 年 10 月 7 日)

    - セキュリティ:DASH「Location」タグの「file://」URL を介した任意のローカルファイルの読み取りを修正しました(「CVE-2026-TO-BE-ASSIGNED」/['GHSA-j7pf-m7gx-jr33'](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))(['98781761'](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - 「re:test()」、「re:match()」、「re:re:replace()」の正規表現関数へのアクセスを含めるために、「validate.xml_xpath()」および「validate.xml_xpath_string()」を変更しました([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - 変更済み:廃止予定警告のログフォーマット([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:すでに非推奨の CLI 引数に対する非推奨の警告がありません(req. Python 3.13+)([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:「SegmentedStreamReader」ストリームを最初に開かずに閉じることができ、ガベージコレクションでログレコードを出力する([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - 更新済みプラグイン:
      - blazetv:ライブストリームを修正しました([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup:Bloomberg HT を修正しました([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan:プラグインを修正しました([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook:新しい実装でプラグインを再導入しました([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo:プラグインを書き直し、修正しました([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua:新しいプラグインを追加しました([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs:AI 支援のコントリビューションとセキュリティ脆弱性レポートに関するルールを強化しました([#7136](https://github.com/streamlink/streamlink/pull/7136)、[#7152](https://github.com/streamlink/streamlink/pull/7152))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026 年 9 月 16 日)

    - 修正済み:urllib3 2.8.0 との互換性([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## ストリームリンク 8.6.0 (2026 年 9 月 13 日)

    - セキュリティ:「file://」URL への HTTP(S) リダイレクトを介した任意のローカルファイルの読み取りを修正しました(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - セキュリティ:安全でないクロススキームリダイレクトを修正しました(HTTPS -> HTTP)(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - 追加:Python 3.15 の公式サポート([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - 追加:HLS パックオーディオストリームのサポート([#7083](https://github.com/streamlink/streamlink/pull/7083)、[#7082](https://github.com/streamlink/streamlink/pull/7082))
    - 追加:「HLSSegment。{get,iter}_content()」と「HLSStreamWriter」を記述します。{get,iter}_segment_content()' にセグメントデータを変更できるようにします([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - 「FFMPEGMuxer」に対する「itsoffset」オプションを追加([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - 追加:「nextjs_inline_rsc()」を「検証」します([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - 修正済み:すべてのインターフェイスに対する「--player-http」/「--player-continuous-http」バインドのHTTPサーバー([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - 修正済み:HLS 日付範囲のゼロまたは負の期間値([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - 修正済み:DASH「SegmentTimeline.S」ノードにおける不適切な「t」属性評価([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - 更新済みプラグイン:
      - ard_live:プラグインを削除しました([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek:プラグインを書き直し、修正しました([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer:リファクタリングされたストリーム取得([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo:Bigo の Web 保護のため、MPEG-TS パケットヘッダーの復号化を追加しました([#7056](https://github.com/streamlink/streamlink/pull/7056)、 [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo:アカウント要件を回避しました([#7106](https://github.com/streamlink/streamlink/pull/7106)、[#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg:player\_url スキーマを修正しました([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu:非同期クロックのあるシステムでの API 呼び出しの失敗を修正しました([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon:URL マッチャーを更新し、v2 API に切り替えました([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame:ストリーム取得を修正しました([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick:VOD を修正しました([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv:ストリームへのアクセスを修正しました([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru:メタデータスキーマを修正しました([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel:プラグインを削除しました([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto:URL マッチャー、チャネル ID リゾルバーおよび VOD を修正しました([#7048](https://github.com/streamlink/streamlink/pull/7048)、[#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok:元のストリームにアクセスするためにストリームデータスキーマを書き直し、修正しました([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch:ポートレート形式のストリームのサポートを追加しました([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch:カテゴリストリームメタデータの欠落による全ストリームメタデータ破壊を修正しました([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio:プラグインを書き直し、修正しました([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek:プラグインを書き直し、修正しました([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - 依存関係:lxml の最小バージョン要件を「5.0.0」に更新しました([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026 年 8 月 1 日)

    - 修正済み:指定されたパイププレーヤーの入力が、プリオープンの失敗時にクリーンアップされていません([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - 修正済み:HLS でストリーム開始オフセットが int に不適切にキャストされていました([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - 修正済み:「hls-playlist-reload-time」が浮動小数点を受け入れません([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - リファクタリング:「HTTPSession」で多数のタイピング問題を修正しました([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - リファクタリング:属性名前空間を許可するための DASH マニフェストパーサーの「MPDNode」([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - 更新済みプラグイン:
      - douyin:検証スキーマを修正しました([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu:新しい実装でプラグインを再導入しました([#6959](https://github.com/streamlink/streamlink/pull/6959)、[#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm:アクセストークンで VOD/組み込みストリームのサポートを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos:プラグインを書き直し、修正しました([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko:live\_url 値を修正しました([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo:プラグインを削除しました([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca:新しいプラグインを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs:Twitch の高品質ストリームの要件を明確にしました([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - テスト:Python 3.15 beta 1 以降のテスト失敗を修正しました([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - セキュリティ:GitHubリリースを変更不可にしました([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - セキュリティ:すべてのGitHubアクションをコミット ID に固定しました([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - セキュリティ:すべての CI ワークフローおよびビルドリリースアセットに対して、uv ロックファイルに切り替えました([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - その他:タールボールとホイールを解放するために、あらかじめ構築された FISH シェルの完了を追加しました([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Streamlinkは、さまざまなサービスからのビデオストリームをビデオプレーヤーにパイプするCLIユーティリティです。8.6.0の前に、HTTPSessionはファイルスキーム用のFileAdapterをマウントし、リクエストからのリダイレクト処理を継承します。クロスプロトコルリダイレクトを拒否しないセッション。Streamlink が到達する HTTP または HTTPS の URL をコントロールするリモートサーバーが、ローカルファイルの URL へのリダイレクトを返す可能性があります。これにより、HTTPSession がローカルファイルを読み取り、そのコンテンツを応答コンシューマーに返します。マニフェストには通常のネットワークURLが含まれており、フェッチ処理の際にスキーム遷移が後から起こるため、HLSとDASHコンテンツに追加された直接ファイルURLチェックがバイパスされます。この欠陥はHTTPSessionを通じて行われたすべてのリクエストに当てはまり、セグメントフェッチによってローカルファイルの内容がストリーム出力に配置される可能性があります。この問題はバージョン 8.6.0 で修正されています。
    (CVE-2026-92164)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-73fcc91d16 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ## streamlink 8.6.2 (2026 年 10 月 7 日)

    - セキュリティ:DASH「Location」タグの「file://」URL を介した任意のローカルファイルの読み取りを修正しました(「CVE-2026-TO-BE-ASSIGNED」/['GHSA-j7pf-m7gx-jr33'](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))(['98781761'](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - 「re:test()」、「re:match()」、「re:re:replace()」の正規表現関数へのアクセスを含めるために、「validate.xml_xpath()」および「validate.xml_xpath_string()」を変更しました([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - 変更済み:廃止予定警告のログフォーマット([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:すでに非推奨の CLI 引数に対する非推奨の警告がありません(req. Python 3.13+)([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - 修正済み:「SegmentedStreamReader」ストリームを最初に開かずに閉じることができ、ガベージコレクションでログレコードを出力する([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - 更新済みプラグイン:
      - blazetv:ライブストリームを修正しました([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup:Bloomberg HT を修正しました([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan:プラグインを修正しました([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook:新しい実装でプラグインを再導入しました([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo:プラグインを書き直し、修正しました([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua:新しいプラグインを追加しました([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs:AI 支援のコントリビューションとセキュリティ脆弱性レポートに関するルールを強化しました([#7136](https://github.com/streamlink/streamlink/pull/7136)、[#7152](https://github.com/streamlink/streamlink/pull/7152))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026 年 9 月 16 日)

    - 修正済み:urllib3 2.8.0 との互換性([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## ストリームリンク 8.6.0 (2026 年 9 月 13 日)

    - セキュリティ:「file://」URL への HTTP(S) リダイレクトを介した任意のローカルファイルの読み取りを修正しました(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - セキュリティ:安全でないクロススキームリダイレクトを修正しました(HTTPS -> HTTP)(['CVE-2026-92164'](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / ['GHSA-vf2x-4v53-pm7v'](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))(['4b99c64d'](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - 追加:Python 3.15 の公式サポート([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - 追加:HLS パックオーディオストリームのサポート([#7083](https://github.com/streamlink/streamlink/pull/7083)、[#7082](https://github.com/streamlink/streamlink/pull/7082))
    - 追加:「HLSSegment。{get,iter}_content()」と「HLSStreamWriter」を記述します。{get,iter}_segment_content()' にセグメントデータを変更できるようにします([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - 「FFMPEGMuxer」に対する「itsoffset」オプションを追加([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - 追加:「nextjs_inline_rsc()」を「検証」します([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - 修正済み:すべてのインターフェイスに対する「--player-http」/「--player-continuous-http」バインドのHTTPサーバー([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - 修正済み:HLS 日付範囲のゼロまたは負の期間値([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - 修正済み:DASH「SegmentTimeline.S」ノードにおける不適切な「t」属性評価([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - 更新済みプラグイン:
      - ard_live:プラグインを削除しました([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek:プラグインを書き直し、修正しました([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer:リファクタリングされたストリーム取得([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo:Bigo の Web 保護のため、MPEG-TS パケットヘッダーの復号化を追加しました([#7056](https://github.com/streamlink/streamlink/pull/7056)、 [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo:アカウント要件を回避しました([#7106](https://github.com/streamlink/streamlink/pull/7106)、[#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg:player\_url スキーマを修正しました([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu:非同期クロックのあるシステムでの API 呼び出しの失敗を修正しました([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon:URL マッチャーを更新し、v2 API に切り替えました([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame:ストリーム取得を修正しました([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick:VOD を修正しました([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv:ストリームへのアクセスを修正しました([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru:メタデータスキーマを修正しました([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel:プラグインを削除しました([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto:URL マッチャー、チャネル ID リゾルバーおよび VOD を修正しました([#7048](https://github.com/streamlink/streamlink/pull/7048)、[#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok:元のストリームにアクセスするためにストリームデータスキーマを書き直し、修正しました([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch:ポートレート形式のストリームのサポートを追加しました([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch:カテゴリストリームメタデータの欠落による全ストリームメタデータ破壊を修正しました([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio:プラグインを書き直し、修正しました([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek:プラグインを書き直し、修正しました([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - 依存関係:lxml の最小バージョン要件を「5.0.0」に更新しました([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026 年 8 月 1 日)

    - 修正済み:指定されたパイププレーヤーの入力が、プリオープンの失敗時にクリーンアップされていません([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - 修正済み:HLS でストリーム開始オフセットが int に不適切にキャストされていました([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - 修正済み:「hls-playlist-reload-time」が浮動小数点を受け入れません([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - リファクタリング:「HTTPSession」で多数のタイピング問題を修正しました([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - リファクタリング:属性名前空間を許可するための DASH マニフェストパーサーの「MPDNode」([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - 更新済みプラグイン:
      - douyin:検証スキーマを修正しました([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu:新しい実装でプラグインを再導入しました([#6959](https://github.com/streamlink/streamlink/pull/6959)、[#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm:アクセストークンで VOD/組み込みストリームのサポートを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos:プラグインを書き直し、修正しました([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko:live\_url 値を修正しました([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo:プラグインを削除しました([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca:新しいプラグインを追加しました([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs:Twitch の高品質ストリームの要件を明確にしました([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - テスト:Python 3.15 beta 1 以降のテスト失敗を修正しました([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - セキュリティ:GitHubリリースを変更不可にしました([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - セキュリティ:すべてのGitHubアクションをコミット ID に固定しました([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - セキュリティ:すべての CI ワークフローおよびビルドリリースアセットに対して、uv ロックファイルに切り替えました([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - その他:タールボールとホイールを解放するために、あらかじめ構築された FISH シェルの完了を追加しました([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [完全な変更ログ](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 45 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-73fcc91d16 advisory.

    ## streamlink 8.6.2 (2026-10-07)

    - SECURITY: fixed arbitrary local file read via `file://` URLs in DASH `Location` tags (`CVE-2026-TO-BE-     ASSIGNED` / [`GHSA-j7pf-m7gx-     jr33`](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))     ([`98781761`](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - Changed: `validate.xml_xpath()` and `validate.xml_xpath_string()` to include access to `re:test()`,     `re:match()` and `re:replace()` regex functions     ([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - Changed: log format of deprecation warnings     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: missing deprecation warnings for already deprecated CLI arguments (req. Python 3.13+)     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: being able to close `SegmentedStreamReader` streams without opening them first, emitting log     records on garbage collection ([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - Updated plugins:
      - blazetv: fixed live streams ([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup: fixed Bloomberg HT ([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan: fixed plugin ([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook: re-introduced plugin with new implementation     ([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo: rewritten and fixed plugin ([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua: added new plugin ([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs: tightened rules about AI-assisted contributions and security vulnerability reports     ([#7136](https://github.com/streamlink/streamlink/pull/7136),     [#7152](https://github.com/streamlink/streamlink/pull/7152))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026-09-16)

    - Fixed: compatibility with urllib3 2.8.0 ([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## streamlink 8.6.0 (2026-09-13)

    - SECURITY: fixed arbitrary local file read via HTTP(S) redirection to `file://` URL     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - SECURITY: fixed insecure cross-scheme redirection (HTTPS -> HTTP)     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - Added: official support for Python 3.15 ([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - Added: support for HLS packed audio streams     ([#7083](https://github.com/streamlink/streamlink/pull/7083),     [#7082](https://github.com/streamlink/streamlink/pull/7082))
    - Added: `HLSSegment.{get,iter}_content()` and `HLSStreamWriter.{get,iter}_segment_content()` for being     able to modify segment data ([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - Added: `itsoffset` option to `FFMPEGMuxer` ([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - Added: `nextjs_inline_rsc()` to `validate` API     ([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - Fixed: HTTP server of `--player-http`/`--player-continuous-http` binding to all interfaces     ([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - Fixed: zero or negative duration values in HLS dateranges     ([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - Fixed: incorrect `t` attribute evaluation in DASH `SegmentTimeline.S` nodes     ([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - Updated plugins:
      - ard_live: removed plugin ([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek: rewritten and fixed plugin     ([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer: refactored stream retrieval ([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo: added MPEG-TS packet header decryption due to Bigo's web-protection     ([#7056](https://github.com/streamlink/streamlink/pull/7056),     [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo: worked around account requirements ([#7106](https://github.com/streamlink/streamlink/pull/7106),     [#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg: fixed player\_url schema ([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu: fixed API call failures on systems with unsynced clocks     ([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon: updated URL matcher and switched to v2 APIs     ([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame: fixed stream retrieval ([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick: fixed VODs ([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv: fixed access to streams ([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru: fixed metadata schema ([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel: removed plugin ([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto: fixed URL matcher, channel ID resolver and VODs     ([#7048](https://github.com/streamlink/streamlink/pull/7048),     [#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok: rewritten and fixed stream data schema for access to origin streams     ([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch: added support for portrait-format streams     ([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch: fixed missing category stream metadata breaking all stream metadata     ([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio: rewritten and fixed plugin ([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek: rewritten and fixed plugin     ([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - Dependencies: bumped min. version requirement of lxml to `5.0.0`     ([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026-08-01)

    - Fixed: named-pipe player inputs not being cleaned up on pre-open failure     ([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - Fixed: stream start offsets being incorrectly cast to int in HLS     ([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - Fixed: `hls-playlist-reload-time` not accepting floats     ([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - Refactored: `HTTPSession` and fixed many typing issues     ([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - Refactored: `MPDNode` in DASH manifest parser to allow attribute namespaces     ([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - Updated plugins:
      - douyin: fixed validation schema ([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu: re-introduced plugin with new implementation     ([#6959](https://github.com/streamlink/streamlink/pull/6959),     [#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm: added support for VODs / embedded streams with access tokens     ([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos: rewritten and fixed plugin ([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko: fixed live\_url value ([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo: removed plugin ([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca: added new plugin ([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs: clarified requirements of Twitch high quality streams     ([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - Tests: fixed test failures since Python 3.15 beta 1     ([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - Security: made GitHub releases immutable ([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - Security: pinned all GitHub actions to commit IDs     ([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - Security: switched to uv lockfile for all CI workflows and for building release assets     ([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - Misc: added pre-built FISH shell completions to release tarballs and wheels     ([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-6ffee677d1 advisory.

    ## streamlink 8.6.2 (2026-10-07)

    - SECURITY: fixed arbitrary local file read via `file://` URLs in DASH `Location` tags (`CVE-2026-TO-BE-     ASSIGNED` / [`GHSA-j7pf-m7gx-     jr33`](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))     ([`98781761`](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - Changed: `validate.xml_xpath()` and `validate.xml_xpath_string()` to include access to `re:test()`,     `re:match()` and `re:replace()` regex functions     ([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - Changed: log format of deprecation warnings     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: missing deprecation warnings for already deprecated CLI arguments (req. Python 3.13+)     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: being able to close `SegmentedStreamReader` streams without opening them first, emitting log     records on garbage collection ([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - Updated plugins:
      - blazetv: fixed live streams ([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup: fixed Bloomberg HT ([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan: fixed plugin ([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook: re-introduced plugin with new implementation     ([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo: rewritten and fixed plugin ([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua: added new plugin ([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs: tightened rules about AI-assisted contributions and security vulnerability reports     ([#7136](https://github.com/streamlink/streamlink/pull/7136),     [#7152](https://github.com/streamlink/streamlink/pull/7152))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026-09-16)

    - Fixed: compatibility with urllib3 2.8.0 ([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## streamlink 8.6.0 (2026-09-13)

    - SECURITY: fixed arbitrary local file read via HTTP(S) redirection to `file://` URL     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - SECURITY: fixed insecure cross-scheme redirection (HTTPS -> HTTP)     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - Added: official support for Python 3.15 ([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - Added: support for HLS packed audio streams     ([#7083](https://github.com/streamlink/streamlink/pull/7083),     [#7082](https://github.com/streamlink/streamlink/pull/7082))
    - Added: `HLSSegment.{get,iter}_content()` and `HLSStreamWriter.{get,iter}_segment_content()` for being     able to modify segment data ([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - Added: `itsoffset` option to `FFMPEGMuxer` ([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - Added: `nextjs_inline_rsc()` to `validate` API     ([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - Fixed: HTTP server of `--player-http`/`--player-continuous-http` binding to all interfaces     ([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - Fixed: zero or negative duration values in HLS dateranges     ([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - Fixed: incorrect `t` attribute evaluation in DASH `SegmentTimeline.S` nodes     ([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - Updated plugins:
      - ard_live: removed plugin ([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek: rewritten and fixed plugin     ([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer: refactored stream retrieval ([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo: added MPEG-TS packet header decryption due to Bigo's web-protection     ([#7056](https://github.com/streamlink/streamlink/pull/7056),     [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo: worked around account requirements ([#7106](https://github.com/streamlink/streamlink/pull/7106),     [#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg: fixed player\_url schema ([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu: fixed API call failures on systems with unsynced clocks     ([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon: updated URL matcher and switched to v2 APIs     ([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame: fixed stream retrieval ([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick: fixed VODs ([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv: fixed access to streams ([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru: fixed metadata schema ([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel: removed plugin ([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto: fixed URL matcher, channel ID resolver and VODs     ([#7048](https://github.com/streamlink/streamlink/pull/7048),     [#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok: rewritten and fixed stream data schema for access to origin streams     ([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch: added support for portrait-format streams     ([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch: fixed missing category stream metadata breaking all stream metadata     ([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio: rewritten and fixed plugin ([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek: rewritten and fixed plugin     ([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - Dependencies: bumped min. version requirement of lxml to `5.0.0`     ([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026-08-01)

    - Fixed: named-pipe player inputs not being cleaned up on pre-open failure     ([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - Fixed: stream start offsets being incorrectly cast to int in HLS     ([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - Fixed: `hls-playlist-reload-time` not accepting floats     ([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - Refactored: `HTTPSession` and fixed many typing issues     ([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - Refactored: `MPDNode` in DASH manifest parser to allow attribute namespaces     ([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - Updated plugins:
      - douyin: fixed validation schema ([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu: re-introduced plugin with new implementation     ([#6959](https://github.com/streamlink/streamlink/pull/6959),     [#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm: added support for VODs / embedded streams with access tokens     ([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos: rewritten and fixed plugin ([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko: fixed live\_url value ([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo: removed plugin ([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca: added new plugin ([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs: clarified requirements of Twitch high quality streams     ([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - Tests: fixed test failures since Python 3.15 beta 1     ([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - Security: made GitHub releases immutable ([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - Security: pinned all GitHub actions to commit IDs     ([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - Security: switched to uv lockfile for all CI workflows and for building release assets     ([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - Misc: added pre-built FISH shell completions to release tarballs and wheels     ([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-d8cf5f20d7 advisory.

    ## streamlink 8.6.2 (2026-10-07)

    - SECURITY: fixed arbitrary local file read via `file://` URLs in DASH `Location` tags (`CVE-2026-TO-BE-     ASSIGNED` / [`GHSA-j7pf-m7gx-     jr33`](https://github.com/streamlink/streamlink/security/advisories/GHSA-j7pf-m7gx-jr33))     ([`98781761`](https://github.com/streamlink/streamlink/commit/987817618f57b6def852693e4e0a95fd9c8437f2))
    - Changed: `validate.xml_xpath()` and `validate.xml_xpath_string()` to include access to `re:test()`,     `re:match()` and `re:replace()` regex functions     ([#7151](https://github.com/streamlink/streamlink/pull/7151))
    - Changed: log format of deprecation warnings     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: missing deprecation warnings for already deprecated CLI arguments (req. Python 3.13+)     ([#7141](https://github.com/streamlink/streamlink/pull/7141))
    - Fixed: being able to close `SegmentedStreamReader` streams without opening them first, emitting log     records on garbage collection ([#7146](https://github.com/streamlink/streamlink/pull/7146))
    - Updated plugins:
      - blazetv: fixed live streams ([#7147](https://github.com/streamlink/streamlink/pull/7147))
      - cinergroup: fixed Bloomberg HT ([#7132](https://github.com/streamlink/streamlink/pull/7132))
      - dogan: fixed plugin ([#7138](https://github.com/streamlink/streamlink/pull/7138))
      - facebook: re-introduced plugin with new implementation     ([#7115](https://github.com/streamlink/streamlink/pull/7115))
      - vimeo: rewritten and fixed plugin ([#7069](https://github.com/streamlink/streamlink/pull/7069))
      - youtvua: added new plugin ([#7140](https://github.com/streamlink/streamlink/pull/7140))
    - Docs: tightened rules about AI-assisted contributions and security vulnerability reports     ([#7136](https://github.com/streamlink/streamlink/pull/7136),     [#7152](https://github.com/streamlink/streamlink/pull/7152))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.1...8.6.2)


    ## streamlink 8.6.1 (2026-09-16)

    - Fixed: compatibility with urllib3 2.8.0 ([#7117](https://github.com/streamlink/streamlink/pull/7117))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.6.0...8.6.1)


    ## streamlink 8.6.0 (2026-09-13)

    - SECURITY: fixed arbitrary local file read via HTTP(S) redirection to `file://` URL     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - SECURITY: fixed insecure cross-scheme redirection (HTTPS -> HTTP)     ([`CVE-2026-92164`](https://nvd.nist.gov/vuln/detail/CVE-2026-92164) / [`GHSA-     vf2x-4v53-pm7v`](https://github.com/streamlink/streamlink/security/advisories/GHSA-vf2x-4v53-pm7v))     ([`4b99c64d`](https://github.com/streamlink/streamlink/commit/4b99c64dde21ea70c24d9ffdbd15849b05f465c6))
    - Added: official support for Python 3.15 ([#7026](https://github.com/streamlink/streamlink/pull/7026))
    - Added: support for HLS packed audio streams     ([#7083](https://github.com/streamlink/streamlink/pull/7083),     [#7082](https://github.com/streamlink/streamlink/pull/7082))
    - Added: `HLSSegment.{get,iter}_content()` and `HLSStreamWriter.{get,iter}_segment_content()` for being     able to modify segment data ([#7059](https://github.com/streamlink/streamlink/pull/7059))
    - Added: `itsoffset` option to `FFMPEGMuxer` ([#7081](https://github.com/streamlink/streamlink/pull/7081))
    - Added: `nextjs_inline_rsc()` to `validate` API     ([#7110](https://github.com/streamlink/streamlink/pull/7110))
    - Fixed: HTTP server of `--player-http`/`--player-continuous-http` binding to all interfaces     ([#7051](https://github.com/streamlink/streamlink/pull/7051))
    - Fixed: zero or negative duration values in HLS dateranges     ([#7074](https://github.com/streamlink/streamlink/pull/7074))
    - Fixed: incorrect `t` attribute evaluation in DASH `SegmentTimeline.S` nodes     ([#7075](https://github.com/streamlink/streamlink/pull/7075))
    - Updated plugins:
      - ard_live: removed plugin ([#7091](https://github.com/streamlink/streamlink/pull/7091))
      - ard_mediathek: rewritten and fixed plugin     ([#7090](https://github.com/streamlink/streamlink/pull/7090))
      - atresplayer: refactored stream retrieval ([#7062](https://github.com/streamlink/streamlink/pull/7062))
      - bigo: added MPEG-TS packet header decryption due to Bigo's web-protection     ([#7056](https://github.com/streamlink/streamlink/pull/7056),     [#7059](https://github.com/streamlink/streamlink/pull/7059))
      - bigo: worked around account requirements ([#7106](https://github.com/streamlink/streamlink/pull/7106),     [#7109](https://github.com/streamlink/streamlink/pull/7109))
      - cdnbg: fixed player\_url schema ([#7036](https://github.com/streamlink/streamlink/pull/7036))
      - douyu: fixed API call failures on systems with unsynced clocks     ([#7065](https://github.com/streamlink/streamlink/pull/7065))
      - filmon: updated URL matcher and switched to v2 APIs     ([#7105](https://github.com/streamlink/streamlink/pull/7105))
      - goodgame: fixed stream retrieval ([#7086](https://github.com/streamlink/streamlink/pull/7086))
      - kick: fixed VODs ([#7108](https://github.com/streamlink/streamlink/pull/7108))
      - nimotv: fixed access to streams ([#7111](https://github.com/streamlink/streamlink/pull/7111))
      - okru: fixed metadata schema ([#7092](https://github.com/streamlink/streamlink/pull/7092))
      - piczel: removed plugin ([#7102](https://github.com/streamlink/streamlink/pull/7102))
      - pluto: fixed URL matcher, channel ID resolver and VODs     ([#7048](https://github.com/streamlink/streamlink/pull/7048),     [#7100](https://github.com/streamlink/streamlink/pull/7100))
      - tiktok: rewritten and fixed stream data schema for access to origin streams     ([#7077](https://github.com/streamlink/streamlink/pull/7077))
      - twitch: added support for portrait-format streams     ([#7087](https://github.com/streamlink/streamlink/pull/7087))
      - twitch: fixed missing category stream metadata breaking all stream metadata     ([#7025](https://github.com/streamlink/streamlink/pull/7025))
      - vidio: rewritten and fixed plugin ([#7063](https://github.com/streamlink/streamlink/pull/7063))
      - zdf_mediathek: rewritten and fixed plugin     ([#7093](https://github.com/streamlink/streamlink/pull/7093))
    - Dependencies: bumped min. version requirement of lxml to `5.0.0`     ([#7029](https://github.com/streamlink/streamlink/pull/7029))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.5.0...8.6.0)


    ## streamlink 8.5.0 (2026-08-01)

    - Fixed: named-pipe player inputs not being cleaned up on pre-open failure     ([#6935](https://github.com/streamlink/streamlink/pull/6935))
    - Fixed: stream start offsets being incorrectly cast to int in HLS     ([#6941](https://github.com/streamlink/streamlink/pull/6941))
    - Fixed: `hls-playlist-reload-time` not accepting floats     ([#6957](https://github.com/streamlink/streamlink/pull/6957))
    - Refactored: `HTTPSession` and fixed many typing issues     ([#6924](https://github.com/streamlink/streamlink/pull/6924))
    - Refactored: `MPDNode` in DASH manifest parser to allow attribute namespaces     ([#6988](https://github.com/streamlink/streamlink/pull/6988))
    - Updated plugins:
      - douyin: fixed validation schema ([#6930](https://github.com/streamlink/streamlink/pull/6930))
      - douyu: re-introduced plugin with new implementation     ([#6959](https://github.com/streamlink/streamlink/pull/6959),     [#7003](https://github.com/streamlink/streamlink/pull/7003))
      - mdstrm: added support for VODs / embedded streams with access tokens     ([#6994](https://github.com/streamlink/streamlink/pull/6994))
      - nos: rewritten and fixed plugin ([#6954](https://github.com/streamlink/streamlink/pull/6954))
      - radiko: fixed live\_url value ([#6962](https://github.com/streamlink/streamlink/pull/6962))
      - trovo: removed plugin ([#6999](https://github.com/streamlink/streamlink/pull/6999))
      - tvazteca: added new plugin ([#6994](https://github.com/streamlink/streamlink/pull/6994))
    - Docs: clarified requirements of Twitch high quality streams     ([#6992](https://github.com/streamlink/streamlink/pull/6992))
    - Tests: fixed test failures since Python 3.15 beta 1     ([#6919](https://github.com/streamlink/streamlink/pull/6919))
    - Security: made GitHub releases immutable ([#6927](https://github.com/streamlink/streamlink/pull/6927))
    - Security: pinned all GitHub actions to commit IDs     ([#6936](https://github.com/streamlink/streamlink/pull/6936))
    - Security: switched to uv lockfile for all CI workflows and for building release assets     ([#6948](https://github.com/streamlink/streamlink/pull/6948))
    - Misc: added pre-built FISH shell completions to release tarballs and wheels     ([#7014](https://github.com/streamlink/streamlink/pull/7014))

    [Full changelog](https://github.com/streamlink/streamlink/compare/8.4.0...8.5.0)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Streamlink is a CLI utility which pipes video streams from various services into a video player. Prior to     8.6.0, HTTPSession mounts a FileAdapter for the file scheme and inherits redirect handling from     requests.Session without rejecting cross-protocol redirects. A remote server controlling an HTTP or HTTPS     URL reached by Streamlink can return a redirect to a local file URL, causing HTTPSession to read the local     file and return its contents to the response consumer. This bypasses the direct file URL checks added for     HLS and DASH content because the manifest contains an ordinary network URL and the scheme transition     occurs later during fetch handling. The flaw applies to every request made through HTTPSession, and a     segment fetch can place the local file contents into stream output. This issue is fixed in version 8.6.0.
    (CVE-2026-92164)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
350247	Linux Distros 未修補弱點：CVE-2026-92164	Nessus	Misc.	2026/9/25	2026/9/28	medium
350247	Linux Distros 未修补的漏洞：CVE-2026-92164	Nessus	Misc.	2026/9/25	2026/9/28	medium
374881	Fedora 43:python-streamlink(2026-d8cf5f20d7)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
374880	Fedora 44:python-streamlink(2026-6ffee677d1)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
350247	Linux Distros のパッチ未適用の脆弱性: CVE-2026-92164	Nessus	Misc.	2026/9/25	2026/9/28	medium
374876	Fedora 45:python-streamlink(2026-73fcc91d16)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
374876	Fedora 45 : python-streamlink (2026-73fcc91d16)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
374880	Fedora 44 : python-streamlink (2026-6ffee677d1)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
374881	Fedora 43 : python-streamlink (2026-d8cf5f20d7)	Nessus	Fedora Local Security Checks	2026/11/2	2026/11/2	medium
350247	Linux Distros Unpatched Vulnerability : CVE-2026-92164	Nessus	Misc.	2026/9/25	2026/9/28	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium