FICHE CVE

CVE-2026-71212

Publiée le 2026-08-05 · Dernière modification le 2026-08-26

🇫🇷 EN BREF

Les utilisateurs de l'interface graphique xidown sont concernés car l'application ne nettoie pas les URL avant de les transmettre à la ligne de commande. Un attaquant peut exécuter des commandes arbitraires sur votre système local s'il parvient à vous inciter à cliquer sur un lien spécialement conçu ou à coller une URL malveillante dans l'application. Bien que cela nécessite une interaction de l'utilisateur, aucune authentification ni aucun privilège particulier n'est requis pour déclencher l'attaque.

CVSS 3.14.4 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-08-05

Dernière modification2026-08-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c

Description officielle du NVD (en anglais)

xidown (a yt-dlp/ffmpeg GUI wrapper) builds its yt-dlp command-line invocation (xidown/core/scanner.py and downloader.py) by appending the user-provided or scanned URL as a bare trailing positional argument, with no '--' end-of-options marker and no scheme validation anywhere in the codebase.