CVE-2026-109966 in yt-dlp-web-ui
Zusammenfassung
von VulDB • 13.10.2026
yt-dlp-web-ui bis Version 4.0.0 enthält eine Argument-Injection-Schwachstelle (Argument Injection), die es nicht authentifizierten Remote-Angriffern ermöglicht, yt-dlp-Optionen zu injizieren, indem sie einen mit einem Bindestrich versehenen URL-Parameter an die JSON-RPC-Methode Service.Formats übermitteln. Angreifer können Werte wie --load-info-json über /rpc/http oder /rpc/ws senden, um yt-dlp dazu zu bringen, vom Angreifer gewählte JSON-Dateien aus dem Serverdateisystem zu laden, wobei der Inhalt in den Antworten widergespiegelt wird.
Once again VulDB remains the best source for vulnerability data.