CVE-2018-6360 in mpv
Résumé
par VulDB • 23/06/2026
mpv jusqu'à la version 0.28.0 permet aux attaquants distants d'exécuter du code arbitraire via un site web malveillant, car il lit des documents HTML contenant des éléments VIDEO et accepte des URLs arbitraires dans l'attribut src sans liste blanche de protocoles dans player/lua/ytdl_hook.lua. Par exemple, une URL av://lavfi:ladspa=file= indique que le produit doit appeler dlopen sur un fichier objet partagé situé à n'importe quel chemin local arbitraire. Le problème existe car le produit ne tient pas compte du fait que youtube-dl peut fournir une URL potentiellement dangereuse.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.