CVE-2026-50023

إصدارات yt-dlp السابقة لـ 2026.06.09

يسمح ثغرة أمنية لمهاجم عن بُعد بكتابة ملفات اختصارات نظام التشغيل التعسفية، مثل .desktop و.url و.webloc، إلى نظام ملفات المستخدم. يحدث هذا لأن قائمة الامتدادات المسموح بها المستخدمة لمنع التنزيلات غير الآمنة تضمنت صراحةً امتدادات الاختصارات هذه للحفاظ على وظيفة الخيار --write-link. يمكن للمهاجمين استغلال هذا الثغرة عن طريق إنشاء ملف m3u8 ضار يحتوي على علامة EXT-X-MEDIA:TYPE=SUBTITLES مع عنوان URI ضار. إذا استخدم المستخدم الخيار --write-subs، فقد يقوم البرنامج بكتابة محتوى يتحكم فيه المهاجم إلى ملف بامتداد اختصار. يمكن أن تحتوي هذه الملفات على أوامر شل أو تشير إلى ملفات قابلة للتنفيذ عن بُعد، مما يتيح شن هجمات التصيد الاحتيالي أو تنفيذ تعليمات برمجية تعسفية إذا تم خداع المستخدم لفتحها.

قم بتحديث yt-dlp إلى الإصدار 2026.06.09.

كحل مؤقت، لا تزود البرنامج إلا بعناوين URL موثوق بها تمامًا.

كحل مؤقت، تجنب استخدام الخيارات --write-subs أو --write-auto-subs أو --embed-subs أو --write-thumbnail أو --write-all-thumbnails أو --embed-thumbnail.

كحل مؤقت، استخدم --format - لاختيار تنسيقات التنزيل تفاعليًّا والتحقق من صحة امتدادات ملفاتها.