Inyección Arbitraria de Comandos a través de --netrc-cmd en yt-dlp

Gravedad: Alta (CVSS 8.8)
Software Afectado: yt-dlp >= 2023.06.21, < 2026.02.21
Corregido en: 2026.02.21
Aviso: GHSA-g3gw-q23r-pgqm
CVE: CVE-2026-26331

---

Resumen

La opción de línea de comandos --netrc-cmd de yt-dlp (o el parámetro netrc_cmd de la API de Python) puede ser explotada para lograr la ejecución arbitraria de comandos cuando se combina con una URL manipulada maliciosamente. Esto permite a un atacante ejecutar comandos de shell arbitrarios en el sistema del usuario.

---

Detalles

La opción --netrc-cmd permite a los usuarios ejecutar un comando de shell para recuperar credenciales de inicio de sesión dinámicamente, reemplazando opcionalmente un marcador de posición {} con el valor "machine" de netrc. Algunos extractores (p. ej., GetCourseRuIE, TeachableIE, TeachableCourseIE) permiten nombres de host con comodines, que pueden contener caracteres especiales de shell. Debido a que yt-dlp ejecuta --netrc-cmd usando subprocess.Popen(shell=True), una URL maliciosa puede inyectar comandos arbitrarios.

---

PoC

yt-dlp --netrc-cmd "echo {}" "https://;touch /tmp/pwned;#.getcourse.ru/video"

---

Impacto

• Vector de Ataque: Red
• Complejidad del Ataque: Baja
• Privilegios Requeridos: Ninguno
• Interacción del Usuario: Requerida
• Impacto: Alto impacto en confidencialidad, integridad y disponibilidad

---

Mitigación

• Actualice yt-dlp a la versión 2026.02.21 o posterior.
• Evite usar --netrc-cmd o netrc_cmd.
• Si es inevitable, no pase marcadores de posición ({}) a --netrc-cmd.

---

Referencias

• https://github.com/yt-dlp/yt-dlp/security/advisories/GHSA-g3gw-q23r-pgqm
• https://nvd.nist.gov/vuln/detail/CVE-2026-26331
• https://github.com/yt-dlp/yt-dlp/releases/tag/2026.02.21