CVE-2018-6360 in mpv
Riassunto
di VulDB • 23/06/2026
mpv fino alla versione 0.28.0 consente agli attaccanti remoti di eseguire codice arbitrario tramite un sito web appositamente creato, poiché legge documenti HTML contenenti elementi VIDEO e accetta URL arbitrari in un attributo src senza una whitelist di protocolli nel file player/lua/ytdl_hook.lua. Ad esempio, un URL del tipo av://lavfi:ladspa=file= indica che il prodotto dovrebbe chiamare dlopen su un file oggetto condiviso situato in un percorso locale arbitrario. Il problema esiste perché il prodotto non considera che youtube-dl può fornire un URL potenzialmente insicuro.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.