CVE-2026-50023: yt-dlp: gravação arbitrária de arquivos de atalho do sistema via contorno de lista de permissões
Uma vulnerabilidade no yt-dlp anterior à versão 2026.06.09 permite que um atacante remoto grave arquivos de atalho do sistema, como .desktop, .url e .webloc, no sistema de arquivos do usuário. Ela contorna a correção anterior do CVE-2024-38519, pois a lista de permissões incluía explicitamente essas extensões. A correção documentada é atualizar para a versão 2026.06.09 ou superior.
Visão geral
Uma vulnerabilidade no yt-dlp, um downloader de áudio e vídeo de linha de comando, permite que uma parte remota grave arquivos de atalho do sistema operacional arbitrários, como .desktop, .url e .webloc, no sistema de arquivos do usuário. O registro descreve o problema como um contorno da correção anterior do CVE-2024-38519. A falha foi corrigida na versão 2026.06.09, conforme o aviso no GitHub.
Impacto
- A lista de permissões incluía explicitamente as extensões .desktop, .url e .webloc, de modo que arquivos de atalho desses tipos podiam ser criados durante downloads de mídia ou legendas.
- A NVD classifica o problema com nota 9.6 (crítica) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, escopo alterado e necessidade de interação do usuário. A pontuação da CNA GitHub é 8.3.
- As consequências práticas dependem de como o sistema operacional e as aplicações do usuário tratam esses tipos de arquivo (inferência).
Produtos e versões afetadas
- Yt-dlp Project Yt-dlp, versões anteriores à 2026.06.09.
- A correção está incluída na 2026.06.09, conforme as notas de lançamento.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro consultado.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o yt-dlp para a versão 2026.06.09 ou superior.
- Até que a atualização seja aplicada, evite baixar mídia ou legendas de fontes não confiáveis e evite usar a opção de gravação de links.
- Execute o yt-dlp com uma conta de usuário padrão e mantenha os diretórios de download separados de locais onde arquivos de atalho possam ser processados automaticamente.
Orientações de detecção
- Monitore diretórios de download e áreas de trabalho em busca de novos arquivos .desktop, .url ou .webloc inesperados.
- Faça o inventário das instalações do yt-dlp em todos os endpoints e gerenciadores de pacotes para identificar versões abaixo de 2026.06.09.
Limitações das informações disponíveis
- O registro não descreve as condições exatas em que um arquivo de atalho é gravado ou executado, nem as plataformas mais afetadas.
- O registro não identifica os sistemas operacionais ou aplicações que processariam esses tipos de arquivo.
- O identificador CWE-641 aparece no registro sem nome.
Perguntas frequentes
Quais versões do yt-dlp são afetadas pelo CVE-2026-50023?
O registro indica como afetadas as versões anteriores à 2026.06.09. Atualizar para a 2026.06.09 ou superior é a correção identificada nas fontes.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.