CVE-2023-35934

yt-dlp video saytlarından video yükləmək üçün komanda sətri proqramıdır. Fayl yükləmələri zamanı yt-dlp və ya yt-dlp-nin istifadə etdiyi xarici yükləyicilər HTTP yönləndirmələrində fərqli hosta kukiləri sızdıra bilər və ya yükləmə fraqmentlərinin hostu onların əsas manifestinin hostundan fərqləndikdə onları sızdıra bilər. Bu zəif davranış 2023.07.06-dan əvvəlki yt-dlp-də və nightly 2023.07.06.185519-da mövcuddur. `curl` və `httpie` (3.1.0 və ya daha sonrakı versiya) istisna olmaqla, bütün yerli və xarici yükləyicilər təsirlənir. Fayl yükləmə mərhələsində bütün kukilər yt-dlp tərəfindən fayl yükləyicisinə `Cookie` başlığı kimi ötürülür və bununla da onların əhatə dairəsi itirilir. Bu, həmçinin xarici alətlər tərəfindən istifadə oluna bilən yt-dlp-nin info JSON çıxışında da baş verir. Nəticədə, yükləyici və ya xarici alət kukilərin əhatə dairəsinə aid olmadığı domenlərə və ya yollara sorğularla kukiləri fərq qoymadan göndərə bilər. yt-dlp 2023.07.06 versiyası və nightly 2023.07.06.185519 bu problemi HTTP yönləndirmələrində `Cookie` başlığını silməklə; yerli yükləyicilərin `Cookie` başlığını cookiejar-dan hesablamasını təmin etməklə, xarici yükləyicilərin kukilər üçün daxili dəstəyindən istifadə edərək onları başlıq arqumentləri kimi ötürməməklə, xarici yükləyicinin düzgün kuki dəstəyi olmadıqda HTTP yönləndirməsini söndürməklə, HTTP başlıqları kimi ötürülən kukiləri emal edərək onların əhatə dairəsini məhdudlaşdırmaqla və əhatə dairəsi haqqında daha çox məlumat saxlayan info dict-də kukilər üçün ayrıca sahə yaratmaqla düzəldir. Yeniləyə bilməyənlər üçün bəzi iş ətrafı həlləri mövcuddur. Kukilərdən və istifadəçi autentifikasiyası üsullarından istifadə etməkdən çəkinin. Ekstraktorlar fərdi kukilər təyin edə bilsə də, bunlar adətən həssas məlumat ehtiva etmir. Alternativ olaraq, `--load-info-json` istifadə etməkdən çəkinin. Və ya autentifikasiya mütləqdirsə: naməlum mənbələrdən yükləmə linklərinin bütövlüyünü brauzerdə (yönləndirmələr daxil olmaqla) yt-dlp-yə ötürməzdən əvvəl yoxlayın; təsirlənmədiyi üçün xarici yükləyici kimi `curl` istifadə edin; və/və ya HLS/m3u8, DASH/mpd və ISM kimi fraqmentli formatlardan çəkinin.