CVE-2026-71212 in xidown
요약
\~에 의해 VulDB • 2026. 08. 05.
xidown(yt-dlp/ffmpeg GUI 래퍼)는 yt-dlp 명령줄 호출(xidown/core/scanner.py 및 downloader.py)을 생성할 때 사용자 제공 또는 스캔된 URL을 '--' 옵션 종료 마커 없이 코드베이스 전반에 걸쳐 스키마 검증도 수행하지 않은 채 단순 후행 위치 인자로 추가합니다. yt-dlp가 '-'로 시작하는 모든 인자를 링크 텍스트가 아닌 CLI 옵션으로 파싱하기 때문에, -U(yt-dlp의 자체 업데이트 플래그) 또는 --exec=...와 같은 악성 'URL' 값은 URL이 아니라 실제 yt-dlp 옵션으로 해석되어 도구 자신의 URL 검증 전에 제어 흐름을 변경합니다. 단일-URL 플로우 테스트에서는 --exec를 통한 전체 코드 실행이 시연되지 않았지만, 모든 호출 사이트에서 근본적인 인자 주입 원리가 확인되었으며 완화 조치가 없습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.