CVE-2026-50158

yutu, YouTube kanallarını idarə etmək və böyütmək üçün süni intellekt əsaslı alətlər dəstidir. Versiya 0.10.9-a qədər, caption-download MCP aləti cmd/caption/download.go vasitəsilə çağırıcı tərəfindən idarə olunan fayl parametrini qəbul edir və onu pkg/caption/caption.go daxilindəki Caption.Download() funksiyasına ötürür; burada os.Create() funksiyası YUTU_ROOT ilə təmin edilən pkg.Root məhdudiyyət sərhədindən istifadə etmədən həmin yolu yaradır və ya kəsir. caption-download alətini çağıra bilən şəxs (o cümlədən, MCP serveri standart autentifikasiyası söndürülmüş konfiqurasiya ilə işlədikdə lokal HTTP kliyenti), yüklənmiş subtitr baytlarını YUTU_ROOT-dan kənarda yutu prosesinin yazıçaq imkanı olan hər hansı bir yoluna yaza bilər. Bu, tətbiq fayllarının, konfiqurasiyanın, qabıq (shell) başlatma fayllarının, loqların və ya məlumatların üzərinə yazılmasına səbəb ola bilər və seçilmiş yazıla bilən hədəfdən asılı olaraq davamlı kodun icrasına və ya xidmətdən imtinaya gətirib çıxara bilər. Canlı subtitrlərin alınması üçün həmçinin istifadə edilə bilən xidmət etibarnamələri və əlçatan subtitr identifikatoru tələb olunur. Bu problem 0.10.9 versiyasında düzəldilib.