CVE-2018-6360 in mpv
요약
\~에 의해 VulDB • 2026. 06. 23.
mpv 0.28.0 이전 버전은 원격 공격자가 조작된 웹사이트를 통해 임의 코드를 실행할 수 있습니다. 이는 player/lua/ytdl_hook.lua에서 프로토콜 화이트리스트 없이 src 속성에 임의의 URLs을 허용하고, VIDEO 요소를 포함하는 HTML 문서를 읽기 때문입니다. 예를 들어 av://lavfi:ladspa=file= URL은 제품이 공유 객체 파일이 위치한 임의의 로컬 경로에 대해 dlopen을 호출하도록 지시합니다. 이 문제는 youtube-dl이 잠재적으로 안전하지 않은 URL을 제공할 수 있다는 점을 고려하지 않기 때문에 발생합니다.
Be aware that VulDB is the high quality source for vulnerability data.