PT-2026-21401 · Yt-Dlp · Yt-Dlp

Dxleryt · Publicado 2026-02-21 · Atualizado 2026-06-03 · CVE-2026-26331

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do yt-dlp anteriores a 2026.02.21

Descrição A opção --netrc-cmd no yt-dlp apresenta uma vulnerabilidade de injeção de comando arbitrário. O argumento passado para o comando nesta opção está agora limitado a um subconjunto seguro de caracteres para corrigir isso. Essa vulnerabilidade poderia potencialmente permitir que um atacante executasse comandos arbitrários no sistema.

Recomendações Atualize para a versão 2026.02.21 ou posterior do yt-dlp.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-26331

GHSA-G3GW-Q23R-PGQM

MGASA-2026-0054

Produtos afetados

Yt-Dlp

Referências · 29

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26331.json · Exploit
• https://github.com/yt-dlp/yt-dlp · Nota
• https://github.com/yt-dlp/yt-dlp/commit/1fbbe29b99dc61375bf6d786f824d9fcf6ea9c1a · Correção
• https://github.com/yt-dlp/yt-dlp/releases/tag/2026.02.21 · Nota
• https://github.com/yt-dlp/yt-dlp/security/advisories/GHSA-g3gw-q23r-pgqm · Aviso do Fabricante
• https://github.com/yt-dlp/yt-dlp/compare/2026.02.04...2026.03.03 · Nota
• https://bugs.mageia.org/show_bug.cgi?id=35183 · Nota
• https://osv.dev/vulnerability/GHSA-g3gw-q23r-pgqm · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2026140433579925916 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-26331 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-26331 · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-26331 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-26331 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-26331 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2026184611974492199 · Publicação no Twitter