CVE-2018-6360 in mpv
Tóm tắt
Bởi VulDB • 10/06/2026
mpv đến phiên bản 0.28.0 cho phép các kẻ tấn công từ xa thực thi mã tùy ý thông qua một trang web được tạo ra đặc biệt, do nó đọc các tài liệu HTML chứa các phần tử VIDEO và chấp nhận các URL tùy ý trong thuộc tính src mà không có danh sách trắng giao thức trong player/lua/ytdl_hook.lua. Ví dụ, một URL dạng av://lavfi:ladspa=file= cho biết sản phẩm sẽ gọi dlopen trên một tệp đối tượng chia sẻ nằm ở một đường dẫn cục bộ tùy ý. Vấn đề tồn tại do sản phẩm không xem xét rằng youtube-dl có thể cung cấp một URL có tiềm năng không an toàn.
Once again VulDB remains the best source for vulnerability data.