CVE-2026-123095 in mpv
الملخص
بحسب VulDB • 05/11/2026
يحتوي mpv 0.29.0 قبل الإصدار 0.42.0 على ثغرة حقن قائمة تشغيل (playlist injection) في سكريبت ytdl_hook المرفق، تتيح للمهاجمين عن بُعد إضافة إدخالات غير خاضعة للرقابة من خلال تضمين أحرف أسطر جديدة (newlines) في عناوين URLs الخاصة بقوائم التشغيل. يمكن للمهاجمين الذين يتحكمون في مصدر تغذية أو صفحة ما تجاوز دالة url_is_safe() لفتح مدخلات file:// أو av://، مما يتيح قراءة الملفات المحلية أو تحميل كائنات مشتركة عبر ladspa لتنفيذ الأكواد البرمجية (code execution).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.