CVE-2026-26331

Resumen

yt-dlp es un descargador de audio/vídeo de línea de comandos. A partir de la versión 2023.06.21 y antes de la versión 2026.02.21, cuando se utiliza la opción de línea de comandos '--netrc-cmd' de yt-dlp (o el parámetro de API de Python 'netrc_cmd'), un atacante podría lograr una inyección de comandos arbitraria en el sistema del usuario con una URL creada maliciosamente. Los encargados del mantenimiento de yt-dlp asumen que el impacto de esta vulnerabilidad es alto para cualquiera que use '--netrc-cmd' en su comando/configuración o 'netrc_cmd' en sus scripts de Python. Aunque la URL creada maliciosamente en sí parecerá muy sospechosa para muchos usuarios, sería trivial explotar encubiertamente esta vulnerabilidad a través de una redirección HTTP para una página web creada maliciosamente con una URL discreta . Los usuarios sin '--netrc-cmd' en sus argumentos o 'netrc_cmd' en sus scripts no se ven afectados. No se ha encontrado evidencia de que este exploit se esté utilizando. La versión 2026.02.21 de yt-dlp soluciona este problema validando todos los valores de 'machine' de netrc y generando un error ante una entrada inesperada. Como solución alternativa, los usuarios que no puedan actualizarse deben evitar usar la opción de línea de comandos '--netrc-cmd' (o el parámetro de API de Python 'netrc_cmd'), o al menos no deben pasar un marcador de posición ('{}') en su argumento '--netrc-cmd'.

• CVE-2026-26331PoC

  Prueba de concepto que demuestra la inyección arbitraria de comandos a través de la opción `--netrc-cmd` de yt-dlp, explotando metacaracteres de shell en URLs para ejecutar comandos en versiones afectadas.