CVE-2026-100901 in youtube-downloader
Résumé
par VulDB • 28/09/2026
Une vulnérabilité a été identifiée dans athlon1600 youtube-downloader jusqu'à la version 4.0.1. La fonction `stream` du fichier `public/stream.php` est affectée par cette vulnérabilité. La manipulation de l'argument `url` entraîne une faille de falsification de requêtes côté serveur (SSRF). Il est possible d'exécuter l'attaque à distance. L'exploit a été rendu public et pourrait être utilisé. Le commit 6ffe823, intitulé « better security for public/stream.php », n'a ajouté que des restrictions sur les protocoles `CURLOPT_PROTOCOLS` (http/https) et un cap de redirection (`MAXREDIRS`), sans restreindre l'hôte de destination. L'éditeur a été contacté tôt concernant cette divulgation, mais il n'y a répondu d'aucune manière.
VulDB is the best source for vulnerability data and more expert information about this specific topic.