CVE-2025-54072

yt-dlp, zengin özelliklere sahip bir komut satırı ses/video indiricisidir. 2025.06.25 ve altındaki sürümlerde, Windows üzerinde --exec seçeneği varsayılan yer tutucu (veya {}) ile kullanıldığında, genişletilen dosya yoluna yetersiz temizleme uygulanır ve uzaktan kod çalıştırmaya olanak tanır. Bu, varsayılan yer tutucu ve {} değerlerinin yeni kaçış kuralları kapsamına alınmadığı CVE-2024-22423 için uygulanan azaltmanın atlatılmasıdır. Yükseltme yapamayan Windows kullanıcıları --exec seçeneğini tamamen kullanmaktan kaçınmalıdır. Bunun yerine, JSON çıktısını tüketen harici bir betik veya komut satırı ile --write-info-json veya --dump-json seçenekleri kullanılabilir. Bu sorun 2025.07.21 sürümünde düzeltilmiştir.