CVE-2023-35934

yt-dlp, video sitelerinden video indirmek için kullanılan bir komut satırı programıdır. Dosya indirmeleri sırasında, yt-dlp veya yt-dlp tarafından kullanılan harici indiriciler, farklı bir ana bilgisayara yapılan HTTP yönlendirmelerinde çerezleri sızdırabilir veya indirme parçalarının ana bilgisayarı, üst manifest dosyasının ana bilgisayarından farklı olduğunda bunları sızdırabilir. Bu güvenlik açığı içeren davranış, 2023.07.06 ve nightly 2023.07.06.185519 sürümlerinden önceki yt-dlp versiyonlarında mevcuttur. `curl` ve `httpie` (versiyon 3.1.0 veya sonrası) hariç tüm yerel ve harici indiriciler etkilenmektedir. Dosya indirme aşamasında, tüm çerezler yt-dlp tarafından dosya indiricisine bir `Cookie` başlığı olarak iletilir ve böylece kapsamlarını kaybederler. Bu durum, harici araçlar tarafından kullanılabilecek olan yt-dlp'nin info JSON çıktısında da meydana gelir. Sonuç olarak, indirici veya harici araç, çerezlerin tanımlanmadığı etki alanlarına veya yollara yönelik isteklere ayrım gözetmeksizin çerezler gönderebilir. yt-dlp versiyon 2023.07.06 ve nightly 2023.07.06.185519; HTTP yönlendirmeleri sırasında `Cookie` başlığını kaldırarak, yerel indiricilerin `Cookie` başlığını cookiejar üzerinden hesaplamasını sağlayarak, çerezleri başlık argümanları olarak geçirmek yerine harici indiricilerin yerleşik çerez desteğini kullanarak, harici indiricinin uygun çerez desteği yoksa HTTP yönlendirmesini devre dışı bırakarak, kapsamlarını sınırlamak için HTTP başlıkları olarak iletilen çerezleri işleyerek ve info dict içinde kapsam hakkında daha fazla bilgi saklayan ayrı bir çerez alanı oluşturarak bu sorunu gidermektedir. Güncelleme yapamayanlar için bazı geçici çözümler mevcuttur. Çerezlerin ve kullanıcı kimlik doğrulama yöntemlerinin kullanılmasından kaçının. Extractors özel çerezler belirleyebilse de bunlar genellikle hassas bilgiler içermez. Alternatif olarak, `--load-info-json` parametresini kullanmaktan kaçının. Veya kimlik doğrulama zorunluysa: bilinmeyen kaynaklardan gelen indirme bağlantılarının (yönlendirmeler dahil) bütünlüğünü yt-dlp'ye aktarmadan önce tarayıcıda doğrulayın; etkilenmediği için harici indirici olarak `curl` kullanın ve/veya HLS/m3u8, DASH/mpd ve ISM gibi parçalı formatlardan kaçının.