CVE-2026-26331

सारांश

yt-dlp एक कमांड-लाइन ऑडियो/वीडियो डाउनलोडर है। संस्करण 2023.06.21 से शुरू होकर संस्करण 2026.02.21 से पहले तक, जब yt-dlp का `--netrc-cmd` कमांड-लाइन विकल्प (या `netrc_cmd` Python API पैरामीटर) उपयोग किया जाता है, तो एक हमलावर दुर्भावनापूर्ण रूप से तैयार किए गए URL के साथ उपयोगकर्ता के सिस्टम पर मनमाना कमांड इंजेक्शन प्राप्त कर सकता है। yt-dlp के अनुरक्षक इस भेद्यता के प्रभाव को उन सभी लोगों के लिए उच्च मानते हैं जो अपने कमांड/कॉन्फ़िगरेशन में `--netrc-cmd` या अपनी Python स्क्रिप्ट में `netrc_cmd` का उपयोग करते हैं। हालाँकि दुर्भावनापूर्ण रूप से तैयार किया गया URL स्वयं कई उपयोगकर्ताओं को बहुत संदिग्ध लगेगा, एक अगोचर URL वाला दुर्भावनापूर्ण रूप से तैयार किया गया वेबपेज HTTP रीडायरेक्ट के माध्यम से इस भेद्यता का गुप्त रूप से शोषण करना तुच्छ होगा। जिन उपयोगकर्ताओं के तर्कों में `--netrc-cmd` या उनकी स्क्रिप्ट में `netrc_cmd` नहीं है, वे प्रभावित नहीं होते हैं। इस शोषण के जंगल में उपयोग किए जाने का कोई सबूत नहीं मिला है। yt-dlp संस्करण 2026.02.21 सभी netrc "machine" मानों को मान्य करके और अप्रत्याशित इनपुट पर त्रुटि उठाकर इस समस्या को ठीक करता है। एक कार्य-विकल्प के रूप में, जो उपयोगकर्ता अपग्रेड करने में असमर्थ हैं, उन्हें `--netrc-cmd` कमांड-लाइन विकल्प (या `netrc_cmd` Python API पैरामीटर) का उपयोग करने से बचना चाहिए, या उन्हें कम से कम अपने `--netrc-cmd` तर्क में एक प्लेसहोल्डर (`{}`) नहीं पास करना चाहिए।

स्रोत

• CVE-2026-26331PoC

  प्रूफ-ऑफ-कॉन्सेप्ट जो yt-dlp के --netrc-cmd विकल्प के माध्यम से मनमाना कमांड इंजेक्शन प्रदर्शित करता है, प्रभावित संस्करणों पर कमांड निष्पादित करने के लिए URL में शेल मेटाकैरेक्टर का शोषण करता है।