CVE-2024-22423

yt-dlp əlavə funksiyalar və düzəlişlərə malik youtube-dl çatışmasıdır (fork). CVE-2023-40581 boşluğunu aradan qaldıran yamaq, qoşa dırnaqları iki qoşa dırnaqla əvəz etməklə `--exec` parametrini `%q` ilə istifadə edərkən uzaqdan kodun icrasının (RCE) qarşısını almağa çalışmışdır. Lakin bu qaçırılma (escaping) kifayət deyil və hələ də mühit dəyişənlərinin genişləndirilməsinə imkan verir. `--exec` parametrində çıxış şablonunun genişləndirilməsi dəstəyi və bu zəiflik vərsiya 2021.04.11-də `yt-dlp`-yə əlavə edilmişdir. yt-dlp versiya 2024.04.09 `%` işarəsini düzgün şəkildə qaçıraraq bu problemi həll edir. O, onları heç nəyə genişlənməyən və yalnız ön faiz işarəsini saxlayan `%%cd:~,%` dəyişəni ilə əvəz edir. yt-dlp proqramını mümkün qədər tez versiya 2024.04.09-a yeniləmək tövsiyə olunur. Həmçinin, `--exec` istifadə edərkən həmişə ehtiyatlı olun, çünki bu konkret zəiflik aradan qaldırılsa da, shell əmrlərində təsdiqlənməmiş giriş məlumatlarından istifadə etmək təbiəti etibarilə təhlükəlidir. Yeniləmə imkanı olmayan Windows istifadəçiləri `--exec` daxilində `{}` (filepath) istisna olmaqla hər hansı çıxış şablonu genişləndirməsindən qaçınmalıdırlar; əgər `--exec` daxilində genişləndirmə lazımdırsa, istifadə etdiyiniz sahələrin `"` , `|` və ya `&` simvollarını ehtiva etmədiyini yoxlayın; və/və ya `--exec` istifadə etmək əvəzinə, info json faylını yazın və sahələri onun vasitəsilə yükləyin.