CVE-2024-38519

`yt-dlp` və `youtube-dl` komanda sətri ilə işləyən audio/video yükləyicilərdir. Düzəliş edilmiş versiyalardan əvvəl `yt-dlp` və `youtube-dl` yüklənən faylların genişlənmələrini məhdudlaşdırmırdı ki, bu da yükləmə qovluğunda ixtiyari fayl adlarının yaradılmasına (və Windows-da yol keçidi - path traversal zəifliyinə) səbəb ola bilərdi. `yt-dlp` və `youtube-dl` həmçinin konfiqurasiyanı işçi kataloqdan oxuduğu üçün (və Windows-da icra edilə bilən fayllar `yt-dlp` və ya `youtube-dl` kataloqundan başladıldığı üçün), bu, ixtiyari kodun icrasına gətirib çıxara bilərdi. `yt-dlp` versiya 2024.07.01 icazə verilən genişlənmələrin ağ siyahısını tətbiq etməklə bu problemi həll edir. `youtube-dl` bu problemi `master` budağındakı `d42a222` commit-ində və 2024-07-03 və ya daha sonrakı tarixlə nişanlanmış gecə quruluşlarında (nightly builds) düzəldir. Bu, bəzi çox nadir genişlənmələrin yüklənilməməsi anlamına gələ bilər, lakin eyni zamanda mümkün istismar sahəsini də məhdudlaşdıracaqdır. Yeniləməyə əlavə olaraq, çıxış şablonunun sonunda `.%(ext)s` olduğundan əmin olun və istifadəçinin yükləmə apardığı vebsaytlara güvəndiyindən əmin olun. Həmçinin, heç vaxt PATH daxilindəki kataloqa və ya istifadəçi kataloqu, `system32` və digər binari faylların yerləşdiyi yerlər kimi həssas məkanlara yükləmə etmədiyinizə əmin olun. Yeniləmək imkanı olmayan istifadəçilər üçün standart çıxış şablonunu (`-o "%(title)s [%(id)s].%(ext)s"`) saxlayın; yüklənəcək medianın genişlənməsinin yaygın video/audio/alt yazı... formatında olduğuna əmin olun; ümumi ekstraktordan (generic extractor) qaçmağa çalışın və/və ya konfiqurasiyanın ümumi məkanlardan yüklənməməsi üçün `--ignore-config --config-location ...` parametrindən istifadə edin.