FICHE CVE

CVE-2026-109966

Publiée le 2026-10-13 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les utilisateurs de yt-dlp-web-ui (jusqu'à la version 4.0.0) sont concernés par une faille qui permet à des attaquants distants non authentifiés d'injecter des options de ligne de commande dans le processus yt-dlp sous-jacent. En envoyant une requête spécialement conçue à l'API, un attaquant peut forcer le serveur à lire et à renvoyer le contenu de fichiers JSON arbitraires de votre système de fichiers. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et seulement un accès réseau basique au service.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-10-13

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

yt-dlp-web-ui through 4.0.0 contains an argument injection vulnerability that allows unauthenticated remote attackers to inject yt-dlp options by supplying a dash-prefixed url parameter to the Service.Formats JSON-RPC method. Attackers can send values like --load-info-json via /rpc/http or /rpc/ws to make yt-dlp load attacker-chosen JSON files from the server filesystem, with contents reflected in responses.