Seprodev

**Nome do Software Vulnerável e Versões Afetadas** yt-dlp versões 2023.09.24 até 2026.06.08 **Description** Quando o `curl` é utilizado como um downloader externo, os cookies podem ser vazados para um host não pretendido durante um redirecionamento HTTP ou quando o host dos fragmentos de download difere do manifesto pai. Isso ocorre porque os cookies passados via parâmetro `--cookie` não ativam o mecanismo de cookies a menos que sejam carregados de um arquivo, fazendo com que o `curl` envie cookies para domínios ou caminhos fora de seu escopo pretendido. Um invasor poderia explorar isso usando um site malicioso com uma URL que desencadeia um redirecionamento não validado (unvalidated redirect)—uma situação em que a aplicação redireciona o usuário para um site externo sem verificar o destino—enviando informações confidenciais de cookies para um servidor controlado pelo invasor. **Recommendations** Atualize para a versão 2026.06.09. Como medida paliativa temporária, não utilize a opção `--downloader curl`.

**Nome do Software Vulnerável e Versões Afetadas** yt-dlp versões anteriores a 2026.06.09 **Descrição** Ao usar o aria2c como um baixador externo para formatos de manifesto fragmentados, como fluxos HLS ou DASH, a entrada insuficientemente sanitizada permite que um invasor realize gravações de arquivos arbitrários. Isso ocorre porque o yt-dlp constrói um arquivo de entrada para o aria2c usando a opção `-i`, e invasores podem injetar opções arbitrárias nesse arquivo. Existem dois vetores de ataque principais: a injeção de quebras de linha via sequências de escape HTML (`
`) em manifestos DASH, ou a injeção de quebras de linha e URIs magnet através de campos de metadados como `title` quando a opção `--no-windows-filename` é usada para desativar a sanitização de nomes de arquivos. No Windows, isso pode levar à execução imediata de código arbitrário ao gravar um arquivo `ffmpeg.exe` malicioso no diretório de trabalho atual. Em outras plataformas, a execução de código arbitrário pode ocorrer em invocações subsequentes do yt-dlp ao gravar um arquivo de configuração malicioso (`yt-dlp.conf`) contendo um argumento `--exec` malicioso. **Recomendações** Atualize para a versão 2026.06.09. Como medida paliativa temporária, adicione `--downloader dash,m3u8:native` à linha de comando para evitar o uso do aria2c para esses formatos.