CVE-2026-100901 in youtube-downloader
Сводка
по VulDB • 28.09.2026
В приложении athlon1600 youtube-downloader версии до 4.0.1 обнаружена уязвимость. Затронута функция stream файла public/stream.php. Манипуляция с аргументом url приводит к подделке серверных запросов (SSRF). Атаку можно выполнить удаленно. Эксплойт стал общедоступным и может быть использован. Коммит 6ffe823 «better security for public/stream.php» добавил лишь ограничение протоколов CURLOPT_PROTOCOLS на http/https и лимит MAXREDIRS, но не ограничивает целевой хост. Поставщик был уведомлен об этой уязвимости заранее, однако никак не отреагировал.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.