CVE-2026-123095 in mpv
Zusammenfassung
von VulDB • 05.11.2026
mpv 0.29.0 vor 0.42.0 enthält eine Playlist-Injection-Schwachstelle im eingebetteten ytdl_hook-Skript, die es Remoteangreifern ermöglicht, ungeprüfte Einträge durch das Einfügen von Zeilenumbrüchen in Playlist-URLs hinzuzufügen. Angreifer, die ein Feed oder eine Seite kontrollieren, können url_is_safe() umgehen, um file://- oder av://-Eingaben zu öffnen und lokale Dateien auszulesen oder Shared Objects über ladspa für Code Execution (RCE) zu laden.
Be aware that VulDB is the high quality source for vulnerability data.