CVE-2026-26331

Riepilogo

yt-dlp è un downloader audio/video da riga di comando. A partire dalla versione 2023.06.21 e prima della versione 2026.02.21, quando viene utilizzata l'opzione da riga di comando `--netrc-cmd` di yt-dlp (o il parametro API Python `netrc_cmd`), un attaccante potrebbe ottenere l'esecuzione arbitraria di comandi sul sistema dell'utente tramite un URL appositamente predisposto. I manutentori di yt-dlp ritengono che l'impatto di questa vulnerabilità sia elevato per chiunque utilizzi `--netrc-cmd` nei propri comandi/configurazioni o `netrc_cmd` nei propri script Python. Sebbene l'URL appositamente predisposto possa apparire molto sospetto a molti utenti, sarebbe banale per una pagina web malevola con un URL poco appariscente sfruttare silenziosamente questa vulnerabilità tramite reindirizzamento HTTP. Gli utenti che non hanno `--netrc-cmd` nei propri argomenti o `netrc_cmd` nei propri script non sono interessati. Non sono state trovate prove di uno sfruttamento di questa vulnerabilità in ambienti reali. La versione 2026.02.21 di yt-dlp risolve questo problema convalidando tutti i valori "machine" di netrc e generando un errore in caso di input imprevisto. Come soluzione alternativa, gli utenti che non possono aggiornare dovrebbero evitare di utilizzare l'opzione da riga di comando `--netrc-cmd` (o il parametro API Python `netrc_cmd`), oppure dovrebbero almeno non passare un segnaposto (`{}`) nel proprio argomento `--netrc-cmd`.

• CVE-2026-26331PoC

  Proof-of-concept che dimostra l'iniezione arbitraria di comandi tramite l'opzione `--netrc-cmd` di yt-dlp, sfruttando metacaratteri di shell negli URL per eseguire comandi sulle versioni vulnerabili.