CVE-2023-46121
Təsvir
yt-dlp əlavə funksiyalara və düzəlişlərə malik olan youtube-dl çatallamasıdır (fork). yt-dlp-dəki Generic Extractor, hücumçunun ixtiyari URL-ə göndərilən sorğu üçün ixtiyari proksi təyin etməsinə imkan verən zəifliyə malikdir ki, bu da hücumçuya yt-dlp-nin HTTP sessiyasından edilən sorğuda MITM (ortadakı adam) hücumu həyata keçirməyə şərait yaradır. Bu, bəzi hallarda kukilərin sızmasına səbəb ola bilər. 2023.11.14 versiyasında `http_headers`-lərin Generic extractor-a və eyni modeldən istifadə edən digər extractor-lara ötürülməsi imkanı ləğv edilmişdir. İstifadəçilərə yeniləmə etməkləri tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər Generic extractor-u deaktiv etməli (və ya yalnız etibarlı məzmunlu etibarlı saytları daxil etməli) və `--no-check-certificate` parametrindən istifadə edərkən ehtiyatlı olmalıdırlar.
Necə düzəltmək olar
- yt-dlp_project yt-dlp2023.11.14 və ya daha yeni versiya
- yt-dlp2023.11.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| yt-dlp_project yt-dlp | 2022.10.04 ≤ v < 2023.11.14 | 2023.11.14 |
| yt-dlpPyPI | 2022.10.04 ≤ v < 2023.11.14 | 2023.11.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.