PT-2025-53607 · Yt-Dlp+1 · Yt-Dlp+1

Pyroxenites · Publicado 2025-12-26 · Atualizado 2026-03-09 · CVE-2025-66203

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do StreamVault anteriores a 251126

Descrição O StreamVault é uma solução de integração para download de vídeos. Existe uma vulnerabilidade de Execução Remota de Código (RCE) na aplicação stream-vault (SpiritApplication). A aplicação não valida corretamente os argumentos do yt-dlp configurados pelo administrador através do endpoint da API /admin/api/saveConfig. Esses argumentos são armazenados e posteriormente utilizados em YtDlpUtil.java ao construir a linha de comando para executar o yt-dlp. Isso permite a potencial execução de comandos. O parâmetro vulnerável é ytdlpargs.

Recomendações As versões anteriores a 251126 devem ser atualizadas para a versão 251126 ou posterior.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-66203

GHSA-C747-Q388-3V6M

Produtos afetados

Streamvault

Yt-Dlp

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66203.json · Exploit
• https://github.com/lemon8866/StreamVault/security/advisories/GHSA-c747-q388-3v6m · Aviso do Fabricante
• https://github.com/lemon8866/StreamVault/releases/tag/251226 · Nota
• https://t.me/CVEtracker/40732 · Publicação no Telegram
• https://t.me/cveNotify/154781 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2004868111305163081 · Publicação no Twitter
• https://twitter.com/cracbot/status/2006681849511424148 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-66203 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2004702685925191683 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2004713584081723617 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2004714759724347736 · Publicação no Twitter
• https://twitter.com/offseq/status/2004704924404203595 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-66203 · Aviso do Fabricante
• https://t.me/cveNotify/146923 · Publicação no Telegram
• https://twitter.com/dailycve/status/2031040510253490228 · Publicação no Twitter