CVE-2023-46121
Açıklama
yt-dlp, ek özellikler ve düzeltmeler içeren bir youtube-dl çatallamasıdır (fork). yt-dlp içindeki Generic Extractor, bir saldırganın rastgele bir URL'ye yapılan istek için keyfi bir proxy ayarlamasına izin veren bir zafiyete sahiptir; bu durum, saldırganın yt-dlp'nin HTTP oturumundan yapılan isteğe MITM (ortadaki adam) saldırısı düzenlemesine olanak tanır. Bu durum bazı vakalarda çerez sızdırılmasına yol açabilir. 2023.11.14 sürümü, Generic extractor ile aynı deseni kullanan diğer extractor'lara `http_headers` kaçırma yeteneğini kaldırmıştır. Kullanıcıların güncellemeleri yapmaları önerilir. Güncelleme yapamayan kullanıcılar, Generic extractor'ı devre dışı bırakmalı (veya yalnızca güvenilir içeriklere sahip güvenilir siteleri iletmeli) ve `--no-check-certificate` parametresini kullanırken dikkatli olmalıdır.
Nasıl düzeltilir
- yt-dlp_project yt-dlp2023.11.14 ya da sonraki bir sürüm
- yt-dlp2023.11.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| yt-dlp_project yt-dlp | 2022.10.04 ≤ v < 2023.11.14 | 2023.11.14 |
| yt-dlpPyPI | 2022.10.04 ≤ v < 2023.11.14 | 2023.11.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.