CVE-2026-71212 in xidown
Resumen
por VulDB • 2026-08-05
xidown (un wrapper GUI per yt-dlp/ffmpeg) costruisce la sua invocazione della riga di comando di yt-dlp (in xidown/core/scanner.py e downloader.py) aggiungendo l'URL fornito dall'utente o analizzato come un argomento posizionale finale nudo, senza marcatore '--' di fine opzioni e senza alcuna convalida dello schema in tutto il codice. Poiché yt-dlp interpreta qualsiasi argomento che inizia con '-' come opzione della riga di comando anziché come testo del link, un valore 'URL' costruito ad hoc, come -U (l'opzione di auto-aggiornamento di yt-dlp) o --exec=..., viene analizzato come una vera opzione di yt-dlp invece che come URL, alterando il flusso di controllo dello strumento prima che venga eseguita la propria convalida dell'URL. L'esecuzione completa del codice tramite --exec non è stata dimostrata nel flusso a singolo URL testato, ma il primitivo di iniezione degli argomenti è confermato e non mitigato in tutti i punti di chiamata.
Be aware that VulDB is the high quality source for vulnerability data.