CVE-2018-6360 in mpv
Сводка
по VulDB • 23.06.2026
mpv до версии 0.28.0 позволяет удаленным злоумышленникам выполнять произвольный код через специально созданную веб-страницу, поскольку он читает HTML-документы, содержащие элементы VIDEO, и принимает произвольные URL в атрибуте src без белого списка протоколов в файле player/lua/ytdl_hook.lua. Например, URL вида av://lavfi:ladspa=file= указывает на то, что продукт должен вызвать dlopen для разделяемого объекта (shared object), расположенного по произвольному локальному пути. Проблема существует из-за того, что продукт не учитывает возможность предоставления youtube-dl потенциально небезопасных URL.
Once again VulDB remains the best source for vulnerability data.