Vulnerabilidades de Yt-dlp Project
CVEs publicadas que afetam produtos de Yt-dlp Project: 5 registro(s), com severidade, exploração e correções.
CVE-2026-55404
Alta · 8.8
CWE-74 08/07/2026
yt-dlp: Downstream command injection via improper sanitization of yt-dlp --write-link output
yt-dlp and youtube-dl are command-line audio/video downloaders. Prior to 2026.7.4, the --write-link, --write-url-link, and --write-desktop-link options can write .url or .desktop shortcut files using attacker-controlled webpage_url or filename metadata without sufficient validation or escaping, allowing malicious file:// URI injection on Windows or newline-based desktop entry key injection on Linux that can execute commands if the generated shortcut is opened. This issue is fixed in version 2026.7.4.
CVE-2026-50574
Crítica · 9.6
CWE-74 23/06/2026
Falha de injeção no yt-dlp com o downloader externo aria2c permite escrita arbitrária de arquivos
yt-dlp é um downloader de áudio e vídeo de linha de comando. Antes da versão 2026.06.09, se o aria2c for usado como downloader externo para um formato de manifesto fragmentado (como um stream HLS/DASH), o yt-dlp repassa ao aria2c uma entrada insuficientemente sanitizada que permite a um invasor realizar uma escrita arbitrária de arquivos. Em plataformas Windows, isso pode levar à execução arbitrária de código imediata. Em plataformas não Windows, isso pode levar à execução arbitrária de código na próxima invocação do yt-dlp. Esta vulnerabilidade está corrigida na versão 2026.06.09.
CVE-2026-50023
Crítica · 9.6
CWE-641 23/06/2026
yt-dlp: gravação arbitrária de arquivos de atalho do sistema via contorno de lista de permissões
yt-dlp é um downloader de áudio e vídeo de linha de comando. Antes de 2026.06.09, existe uma vulnerabilidade no yt-dlp que permite a um atacante remoto gravar arquivos de atalho de sistema operacional arbitrários (como .desktop, .url, .webloc) no sistema de arquivos do usuário, contornando a correção do CVE-2024-38519. A lista de permissões incluía explicitamente as extensões inseguras .desktop, .url e .webloc para que a funcionalidade da opção --write-link (e suas variantes) pudesse ser preservada. Essas inclusões na lista de permissões podem ser exploradas por um atacante para gravar arquivos de atalho maliciosos no contexto do download de mídia ou legendas. Esta vulnerabilidade foi corrigida na versão 2026.06.09.
CVE-2026-50019
Alta · 7.4
CWE-200 23/06/2026
yt-dlp: File Downloader cookie leak with curl
yt-dlp is a command-line audio/video downloader. From 2023.09.24 until 2026.06.09, if curl is used as an external downloader for yt-dlp, cookies may be leaked to an unintended host upon HTTP redirect or when the host for download fragments differs from their parent manifest's. At the file download stage, the cookies are passed by yt-dlp to the file downloader via --cookie. However, unless these are loaded from a file, this operation does not activate the cookie engine. As a result, curl will send cookies with requests to domains or paths for which the cookies are not scoped. This vulnerability is fixed in 2026.06.09.
CVE-2026-26331
Alta · 8.8
CWE-78 24/02/2026
yt-dlp: Arbitrary Command Injection when using the `--netrc-cmd` option
yt-dlp is a command-line audio/video downloader. Starting in version 2023.06.21 and prior to version 2026.02.21, when yt-dlp's `--netrc-cmd` command-line option (or `netrc_cmd` Python API parameter) is used, an attacker could achieve arbitrary command injection on the user's system with a maliciously crafted URL. yt-dlp maintainers assume the impact of this vulnerability to be high for anyone who uses `--netrc-cmd` in their command/configuration or `netrc_cmd` in their Python scripts. Even though the maliciously crafted URL itself will look very suspicious to many users, it would be trivial for a maliciously crafted webpage with an inconspicuous URL to covertly exploit this vulnerability via HTTP redirect. Users without `--netrc-cmd` in their arguments or `netrc_cmd` in their scripts are unaffected. No evidence has been found of this exploit being used in the wild. yt-dlp version 2026.02.21 fixes this issue by validating all netrc "machine" values and raising an error upon unexpected input. As a workaround, users who are unable to upgrade should avoid using the `--netrc-cmd` command-line option (or `netrc_cmd` Python API parameter), or they should at least not pass a placeholder (`{}`) in their `--netrc-cmd` argument.