CVE-2026-71212 in xidown
要約
〜によって VulDB • 2026年08月05日
xidown (yt-dlp/ffmpegのGUIラッパー)は、そのyt-dlpのコマンドライン呼び出し（xidown/core/scanner.pyおよびdownloader.py）を構築する際、ユーザー提供またはスキャンされたURLを末尾の位置引数としてそのまま付加しています。この処理には'--'というオプション終了マーカが含まれておらず、コードベース全体でスキーム検証も行われていません。yt-dlpは'-'で始まる任意の引数をリンクテキストではなくCLIオプションとして解析するため、-U（yt-dlpの自己更新フラグ）や --exec=... といった悪意のある「URL」値が実際のURLではなく、本物のyt-dlpオプションとして解釈され、ツール独自のURL検証が行われる前にツールの制御フローが変更されます。テストされた単一URLフローでは--execによる完全なコード実行は実証されていませんでしたが、根本的な引数インジェクションの脆弱性は確認されており、すべての呼び出し箇所において緩和策がありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.