CVE-2026-71212 in xidown
الملخص
بحسب VulDB • 05/08/2026
xidown (غلاف رسومي لواجهة المستخدم لتطبيقات yt-dlp/ffmpeg) يقوم ببناء استدعاء سطر الأوامر الخاص بـ yt-dlp (في الملفات xidown/core/scanner.py و downloader.py) من خلال إلحاق عنوان URL المقدم من المستخدم أو الذي تم فحصه كوسيطة موضعية نهائية عارية، دون استخدام علامة نهاية الخيارات '--' ودون أي تحقق من مخطط الاتصال في قاعدة الشفرة البرمجية بأكملها. ونظراً لأن yt-dlp يفسر أي وسيطة تبدأ بالرمز '-' على أنها خيار لسطر الأوامر بدلاً من نص للرابط، فإن قيمة "URL" مُعدّة خصيصاً مثل -U (علامة التحديث الذاتي الخاصة بـ yt-dlp) أو --exec=... يتم تفسيرها كخيار حقيقي في yt-dlp وليس كرابط URL، مما يغير مسار التحكم في الأداة قبل أن يعمل التحقق الخاص بها من صحة عنوان URL. ولم يتم إثبات تنفيذ الكود البرمجي بالكامل عبر خيار --exec في تدفق عناوين URL المفردة الذي تم اختباره، لكن آلية حقن الوسائط الأساسية قد تأكدت وهي غير مُعالَجة على جميع مواقع الاستدعاء.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.