yt-dlp является ответвлением youtube-dl с дополнительными функциями и исправлениями. Патч, который устранил CVE-2023-40581, попытался предо…

yt-dlp является ответвлением youtube-dl с дополнительными функциями и исправлениями. Патч, который устранил CVE-2023-40581, попытался предотвратить RCE при использовании `--exec` с `%q`, заменив двойные кавычки на две двойные кавычки. Однако это экранирование недостаточно и все еще позволяет расширение переменных окружения. Поддержка расширения шаблона вывода в `--exec`, наряду с этим уязвимым поведением, была добавлена в `yt-dlp` в версии 2021.04.11. Версия yt-dlp 2024.04.09 исправляет эту проблему, правильно экранируя `%`. Она заменяет их на `%%cd:~,%`, переменную, которая разворачивается в ничто, оставляя только ведущий процент. Рекомендуется обновить yt-dlp до версии 2024.04.09 как можно скорее. Также всегда будьте осторожны при использовании `--exec`, потому что, хотя эта конкретная уязвимость была устранена, использование непроверенного ввода в командной строке по своей природе опасно. Для пользователей Windows, которые не могут обновиться, избегайте использования любого расширения шаблона вывода в `--exec`, кроме `{}` (путь к файлу); если расширение в `--exec` необходимо, проверьте, чтобы поля, которые вы используете, не содержали `"`, `|` или `&` и/или вместо использования `--exec` запишите информацию в формате json и загружайте поля из него.