CVE-2018-6360 in mpv
Zusammenfassung
von VulDB • 11.06.2026
mpv bis Version 0.28.0 ermöglicht es Remoteangreifern, beliebigen Code auszuführen, indem sie eine speziell gestaltete Website aufrufen, da HTML-Dokumente mit VIDEO-Elementen gelesen und beliebige URLs im src-Attribut ohne Protokoll-Whitelist in player/lua/ytdl_hook.lua akzeptiert werden. Beispielsweise kennzeichnet eine av://lavfi:ladspa=file=-URL, dass das Produkt dlopen für eine Shared-Object-Datei aufrufen soll, die sich an einem beliebigen lokalen Pfad befindet. Das Problem besteht darin, dass das Produkt nicht berücksichtigt, dass youtube-dl eine potenziell unsichere URL bereitstellen kann.
Be aware that VulDB is the high quality source for vulnerability data.