CVE-2026-50158
Açıklama
yutu, YouTube kanallarını yönetmek ve büyütmek için geliştirilmiş yapay zeka destekli bir araç takımıdır. 0.10.9 sürümünden önce, caption-download MCP aracı, cmd/caption/download.go üzerinden çağırıcı tarafından kontrol edilen bir dosya parametresi kabul eder ve bunu pkg/caption/caption.go içindeki Caption.Download() fonksiyonuna iletir; burada os.Create(), YUTU_ROOT tarafından desteklenen pkg.Root sınırlama sınırını kullanmadan ilgili yolu oluşturur veya içeriğini temizler. MCP sunucusu varsayılan kimlik doğrulamasının devre dışı olduğu yapılandırmayla çalıştığında yerel bir HTTP istemcisi de dahil olmak üzere, caption-download aracını çağırma yetkisine sahip bir kişi, indirilen altyazı baytlarını YUTU_ROOT dışında yutu sürecinin yazma yetkisine sahip olduğu herhangi bir yola yazabilir. Bu durum uygulama dosyalarının, yapılandırmaların, kabuk başlangıç dosyalarının, günlüklerin veya verilerin üzerine yazılmasına neden olabilir ve seçilen yazılabilir hedefe bağlı olarak kalıcı kod çalıştırılmasına veya hizmet reddine yol açabilir. Canlı altyazı alımı ayrıca kullanılabilir servis kimlik bilgileri ve erişilebilir bir altyazı tanımlayıcısı gerektirir. Bu sorun 0.10.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/eat-pray-ai/yutu0.10.9-dev1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/eat-pray-ai/yutuGo | v < 0.10.9-dev1 | 0.10.9-dev1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.