CVE-2026-50574: Falha de injeção no yt-dlp com o downloader externo aria2c permite escrita arbitrária de arquivos

Visão geral

A CVE-2026-50574 é uma falha no yt-dlp, um downloader de áudio e vídeo de linha de comando. Ela é classificada como CWE-74 (Injeção). O problema aparece somente quando o aria2c é usado como downloader externo para formatos de manifesto fragmentado, como streams HLS ou DASH.

Impacto

Segundo o registro, um invasor poderia explorar entrada insuficientemente sanitizada para realizar uma escrita arbitrária de arquivos. O registro afirma que, no Windows, isso pode levar à execução arbitrária de código imediata, e em plataformas não Windows, à execução de código na próxima invocação do yt-dlp. A pontuação da NVD é 9.6 e a do CNA do GitHub é 8.3, ambas no CVSS v3.1.

Produtos e versões afetadas

Produto: yt-dlp (Yt-dlp Project Yt-dlp)
Faixa afetada: versões anteriores à 2026.06.09
Condição: aria2c configurado como downloader externo para formatos de manifesto fragmentado

Status de exploração

A vulnerabilidade não consta no catálogo KEV da CISA no registro consultado. Não há exploração confirmada na natureza nas fontes consultadas. O registro não traz valor de EPSS.

Correção e mitigação

Atualize o yt-dlp para a versão 2026.06.09 ou superior, conforme indicado no aviso de segurança do GitHub.
Enquanto a atualização não for possível, considere não usar o aria2c como downloader externo, o que é uma inferência a partir da condição afetada descrita no registro.
Revise pipelines e scripts automatizados que executem o yt-dlp com opções de downloader externo.

Orientação para detecção

Inventarie as instalações do yt-dlp e suas versões em estações e servidores.
Identifique configurações ou scripts que definam o aria2c como downloader externo.
Monitore a criação ou modificação inesperada de arquivos em diretórios usados pelo yt-dlp e por seus processos de download.

Limitações das informações disponíveis

O registro não descreve a lacuna específica de sanitização, as entradas exatas envolvidas nem qualquer prova de conceito pública. Não lista outras versões afetadas nem solução alternativa do fornecedor além da atualização. Atividade de exploração não é reportada nas fontes consultadas.

Perguntas frequentes

Quais versões do yt-dlp são afetadas pela CVE-2026-50574?

O registro indica como afetadas as versões anteriores à 2026.06.09. A correção está disponível na 2026.06.09.

O problema ocorre apenas com um downloader específico?

Segundo o registro, o problema se aplica quando o aria2c é usado como downloader externo para formatos de manifesto fragmentado, como streams HLS ou DASH.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.