CVE-2018-6360 in mpv
Sumário
de VulDB • 10/06/2026
O mpv até a versão 0.28.0 permite que atacantes remotos executem código arbitrário por meio de um site malicioso, pois ele lê documentos HTML contendo elementos VIDEO e aceita URLs arbitrárias em um atributo src sem uma lista branca de protocolos em player/lua/ytdl_hook.lua. Por exemplo, uma URL do tipo av://lavfi:ladspa=file= indica que o produto deve chamar dlopen em um arquivo de objeto compartilhado localizado em um caminho local arbitrário. O problema existe porque o produto não considera que o youtube-dl pode fornecer uma URL potencialmente insegura.
If you want to get best quality of vulnerability data, you may have to visit VulDB.