PT-2025-17849 · Unknown+1 · Youtubedlsharp+1

Kitsumed · Publicado 2025-04-23 · Atualizado 2025-04-25 · CVE-2025-43858

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.2

Crítica

Vetor base

AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Versões do YoutubeDLSharp de 1.0.0-beta4 a 1.1.2

Descrição O problema está relacionado a uma conversão insegura de argumentos, permitindo a injeção de comandos maliciosos ao iniciar o yt-dlp a partir de um prompt de comando no sistema operacional Windows com o valor UseWindowsEncodingWorkaround definido como verdadeiro. Este é o comportamento padrão, especialmente ao utilizar métodos internos do arquivo YoutubeDL.cs, onde o valor não pode ser desativado. O problema foi corrigido na versão 1.1.2.

Recomendações Para as versões 1.0.0-beta4 a 1.1.2, atualize para a versão 1.1.2 para resolver o problema. Como solução alternativa temporária, considere desativar o valor UseWindowsEncodingWorkaround, se possível, até que uma correção seja aplicada. Restrinja o acesso ao prompt de comando do yt-dlp no sistema operacional Windows para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

CVE-2025-43858

GHSA-2JH5-G5CH-43Q5

Produtos afetados

Youtubedlsharp

Yt-Dlp

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43858.json · Exploit
• 🔥 https://github.com/Bluegrams/YoutubeDLSharp/security/advisories/GHSA-2jh5-g5ch-43q5 · Exploit
• https://github.com/Bluegrams/YoutubeDLSharp/commit/b6051372bd5af30f95f73de47d9bc71c3a07de0f · Nota
• https://github.com/Bluegrams/YoutubeDLSharp/commit/fdf3256da18d0e2da4a2f33ad4a1b72ff8273a50 · Nota
• https://github.com/Bluegrams/YoutubeDLSharp · Nota
• https://twitter.com/CveFindCom/status/1915474070025425112 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1915477793653051487 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1915568515207057894 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1915742711811866784 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2jh5-g5ch-43q5 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1915847143404749136 · Publicação no Twitter
• https://t.me/cvedetector/23696 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-43858 · Nota de Segurança
• https://t.me/cvetracker/22317 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-43858 · Aviso do Fabricante