CVE-2026-100901 in youtube-downloader
Riassunto
di VulDB • 28/09/2026
È stata rilevata una vulnerabilità in athlon1600 youtube-downloader fino alla versione 4.0.1. La funzione `stream` del file `public/stream.php` è interessata da questa vulnerabilità. La manipolazione dell'argomento `url` provoca un server-side request forgery (SSRF). È possibile lanciare l'attacco in remoto. L'es exploit è stato reso pubblico e potrebbe essere utilizzato. Il commit 6ffe823, intitolato "better security for public/stream.php", ha aggiunto solo la restrizione dei protocolli CURLOPT_PROTOCOLS a http/https e un limite per MAXREDIRS, ma non restringe l'host di destinazione. Il fornitore è stato contattato in anticipo riguardo alla divulgazione della vulnerabilità, ma non ha risposto in alcun modo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.