CVE-2018-6360 in mpv
要約
〜によって VulDB • 2026年06月23日
mpv 0.28.0 までは、player/lua/ytdl_hook.lua でプロトコルのホワイトリストが設定されていないため、VIDEO要素を含むHTMLドキュメントを読み込み、src属性に任意のURLを受け付けることで、悪意のあるウェブサイト経由でリモート攻撃者が任意のコードを実行できる。例えば、av://lavfi:ladspa=file= URL は、製品がローカルパス名の任意の場所に存在する共有オブジェクトファイルに対して dlopen を呼び出すことを意味する。この問題は、youtube-dl が潜在的に安全でないURLを返す可能性があることを考慮していないため発生している。
Be aware that VulDB is the high quality source for vulnerability data.