通过 yt-dlp 中的 --netrc-cmd 实现任意命令注入

严重性： 高（CVSS 8.8）
受影响软件： yt-dlp >= 2023.06.21，< 2026.02.21
修复版本： 2026.02.21
安全公告： GHSA-g3gw-q23r-pgqm
CVE： CVE-2026-26331

摘要

yt-dlp 的 --netrc-cmd 命令行选项（或 Python API 参数 netrc_cmd）在与恶意构造的 URL 结合使用时，可被滥用以实现任意命令执行。这允许攻击者在用户系统上执行任意 shell 命令。

详情

--netrc-cmd 选项允许用户执行 shell 命令来动态获取登录凭据，并可选地将占位符 {} 替换为 netrc 的 "machine" 值。某些提取器（例如 GetCourseRuIE、TeachableIE、TeachableCourseIE）允许使用通配符主机名，其中可能包含 shell 特殊字符。由于 yt-dlp 使用 subprocess.Popen(shell=True) 执行 --netrc-cmd，恶意 URL 可以注入任意命令。

PoC

yt-dlp --netrc-cmd "echo {}" "https://;touch /tmp/pwned;#.getcourse.ru/video"

影响

• 攻击向量： 网络
• 攻击复杂度： 低
• 所需权限： 无
• 用户交互： 需要
• 影响： 对机密性、完整性和可用性造成高影响

缓解措施

• 将 yt-dlp 升级到 2026.02.21 或更高版本。
• 避免使用 --netrc-cmd 或 netrc_cmd。
• 如果无法避免，请不要将占位符（{}）传递给 --netrc-cmd。

参考

• https://github.com/yt-dlp/yt-dlp/security/advisories/GHSA-g3gw-q23r-pgqm
• https://nvd.nist.gov/vuln/detail/CVE-2026-26331
• https://github.com/yt-dlp/yt-dlp/releases/tag/2026.02.21