CVE-2026-71212

Nome do Software Vulnerável e Versões Afetadas xidown (versões afetadas não especificadas)

Description O software constrói incorretamente as invocações de linha de comando para o yt-dlp em xidown/core/scanner.py e downloader.py, anexando URLs fornecidas pelo usuário ou escaneadas como argumentos posicionais simples. A aplicação não possui validação de esquema e não utiliza um marcador de fim de opções. Consequentemente, se uma URL começar com um hífen, o yt-dlp a interpretará como uma opção de linha de comando em vez de um link. Essa falha de injeção de argumentos permite que um invasor altere o fluxo de controle da ferramenta usando flags como -U ou --exec=... antes que a validação interna de URL seja executada.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.