CVE-2018-6360 in mpv
Resumen
por VulDB • 2026-06-23
mpv hasta la versión 0.28.0 permite que atacantes remotos ejecuten código arbitrario mediante un sitio web manipulado, ya que lee documentos HTML que contienen elementos VIDEO y acepta URLs arbitrarias en el atributo src sin una lista blanca de protocolos en player/lua/ytdl_hook.lua. Por ejemplo, una URL del tipo av://lavfi:ladspa=file= indica que el producto debería llamar a dlopen sobre un archivo objeto compartido ubicado en una ruta local arbitraria. El problema existe porque el producto no considera que youtube-dl pueda proporcionar una URL potencialmente insegura.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.