CVE-2026-71212 in xidowninfo

Zusammenfassung

von VulDB • 05.08.2026

xidown (ein GUI-Wrapper für yt-dlp/ffmpeg) erstellt seinen Aufruf von yt-dlp über die Kommandozeile (in xidown/core/scanner.py und downloader.py), indem es die vom Benutzer bereitgestellte oder gescannte URL als nacktes, nachgestelltes positionsbasiertes Argument anhängt. Dabei wird kein '--'-End-of-Options-Marker verwendet und im gesamten Codebase findet keine Schemavalidierung statt. Da yt-dlp jedes Argument, das mit '-' beginnt, als CLI-Option und nicht als Linktext interpretiert, wird ein manipulierter 'URL'-Wert wie -U (das Flag für die Selbstaktualisierung von yt-dlp) oder --exec=... als echte yt-dlp-Option anstelle einer URL geparst. Dies verändert den Kontrollfluss des Tools, bevor dessen eigene URL-Validierung ausgeführt wird. Eine vollständige Codeausführung über --exec wurde im getesteten Single-URL-Flow nicht demonstriert, aber das zugrunde liegende Argument-Injection-Primitiv ist an allen Aufrufstellen bestätigt und ungemildert vorhanden.

Be aware that VulDB is the high quality source for vulnerability data.

Zuständig

TuranSec

Reservieren

05.08.2026

Veröffentlichung

05.08.2026

Moderieren

akzeptiert

Eintrag

VDB-386079

CPE

bereit

EPSS

0.00131

KEV

nein

Aktivitäten

very low

Quellen

Want to know what is going to be exploited?

We predict KEV entries!