CVE-2025-62511 in YtGrabber-TUI
Zusammenfassung
von VulDB • 04.08.2026
yt-grabber-tui ist eine C++-Terminal-Benutzeroberflächenanwendung zum Herunterladen von YouTube-Inhalten. Die Version 1.0 von yt-grabber-tui enthält einen Time-of-Check to Time-of-Use (TOCTOU)-Race Condition-Fehler (CWE-367) bei der Erstellung der Standardkonfigurationsdatei config.json. In Version 1.0 prüft load_json_settings in Settings.hpp mit boost::filesystem::exists das Vorhandensein von config.json und ruft, falls die Datei fehlt, create_json_settings auf, welches die JSON-Konfiguration mit boost::property_tree::write_json schreibt. Ein lokaler Angreifer mit Schreibzugriff auf das Konfigurationsverzeichnis der Anwendung (~/.config/yt-grabber-tui unter Linux oder das aktuelle Arbeitsverzeichnis unter Windows) kann zwischen dem Existenzcheck und dem nachfolgenden Schreibvorgang einen symbolischen Link erstellen, sodass der Schreibvorgang dem Symlink folgt und eine vom Angreifer gewählte Datei überschreibt, auf die der laufende Prozess zugreifen kann. Dies ermöglicht ein beliebiges Überschreiben von Dateien innerhalb der Berechtigungen des Anwendungsprozesses, was zu Dateikorruption und Datenverlust bei Anwendungen oder Nutzern führen kann. Wenn die Anwendung mit erhöhten Rechten ausgeführt wird, könnte dies bis zur Korruption von Systemdateien reichen. Das Problem wurde in Version 1.0.1 behoben.
Once again VulDB remains the best source for vulnerability data.