CVE-2026-71212

xidown (a yt-dlp/ffmpeg GUI wrapper) builds its yt-dlp command-line invocation (xidown/core/scanner.py and downloader.py) by appending the user-provided or scanned URL as a bare trailing positional argument, with no '--' end-of-options marker and no scheme validation anywhere in the codebase.

CVSS v3 4.4 MEDIUM

4.4^/10

CVSS v3 : MEDIUM

Vector :

Exploitability : 1.8 / Impact : 2.5

Attack Vector LOCAL

Attack Complexity LOW

Privileges Required NONE

User Interaction REQUIRED

Confidentiality Impact NONE

Integrity Impact LOW

Availability Impact LOW

Scope UNCHANGED

References

Link	Resource
https://cwe.mitre.org/data/definitions/88.html

Configurations

No configuration.

History

23 Oct 2026, 21:10

Type	Values Removed	Values Added
Summary		(es) xidown (un wrapper GUI para yt-dlp/ffmpeg) construye su invocación de línea de comandos de yt-dlp (xidown/core/scanner.py y downloader.py) al añadir la URL proporcionada por el usuario o escaneada como un argumento posicional final simple, sin un marcador de fin de opciones ’--’ y sin validación de esquema en ninguna parte del código base. Debido a que yt-dlp analiza cualquier argumento que comienza con ’-’ como una opción de CLI en lugar de texto de enlace, un valor de ’URL’ manipulado como -U (el indicador de autoactualización de yt-dlp) o --exec=... se analiza como una opción real de yt-dlp en lugar de una URL, alterando el flujo de control de la herramienta antes de que se ejecute su propia validación de URL. La ejecución de código completa a través de --exec no se demostró en el flujo de una sola URL probado, pero la primitiva subyacente de inyección de argumentos está confirmada y sin mitigar en todos los puntos de llamada.

Information

Published : 2026-08-05 08:16

Updated : 2026-10-24 15:10

NVD link : CVE-2026-71212

Mitre link : CVE-2026-71212

CVE.ORG link : CVE-2026-71212

JSON object : View

Products Affected

No product.

CWE

CWE-88

Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')

{"id": "CVE-2026-71212", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-71212", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "no"}, {"technicalImpact": "partial"}], "version": "2.0.3", "timestamp": "2026-08-05T13:26:48.118160Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 4.4, "attackVector": "LOCAL", "baseSeverity": "MEDIUM", "vectorString": "CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L", "integrityImpact": "LOW", "userInteraction": "REQUIRED", "attackComplexity": "LOW", "availabilityImpact": "LOW", "privilegesRequired": "NONE", "confidentialityImpact": "NONE"}, "impactScore": 2.5, "exploitabilityScore": 1.8}]}, "affected": [{"source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "affectedData": [{"vendor": "indravoyager", "product": "xidown", "versions": [{"status": "affected", "version": "0", "versionType": "custom", "lessThanOrEqual": "1.25.1.19"}], "programFiles": ["xidown/core/scanner.py", "xidown/core/downloader.py"], "defaultStatus": "unknown"}]}], "published": "2026-08-05T08:16:43.503", "references": [{"url": "https://cwe.mitre.org/data/definitions/88.html", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "description": [{"lang": "en", "value": "CWE-88"}]}], "descriptions": [{"lang": "en", "value": "xidown (a yt-dlp/ffmpeg GUI wrapper) builds its yt-dlp command-line invocation (xidown/core/scanner.py and downloader.py) by appending the user-provided or scanned URL as a bare trailing positional argument, with no '--' end-of-options marker and no scheme validation anywhere in the codebase."}, {"lang": "es", "value": "xidown (un wrapper GUI para yt-dlp/ffmpeg) construye su invocaci\u00f3n de l\u00ednea de comandos de yt-dlp (xidown/core/scanner.py y downloader.py) al a\u00f1adir la URL proporcionada por el usuario o escaneada como un argumento posicional final simple, sin un marcador de fin de opciones \u2019--\u2019 y sin validaci\u00f3n de esquema en ninguna parte del c\u00f3digo base. Debido a que yt-dlp analiza cualquier argumento que comienza con \u2019-\u2019 como una opci\u00f3n de CLI en lugar de texto de enlace, un valor de \u2019URL\u2019 manipulado como -U (el indicador de autoactualizaci\u00f3n de yt-dlp) o --exec=... se analiza como una opci\u00f3n real de yt-dlp en lugar de una URL, alterando el flujo de control de la herramienta antes de que se ejecute su propia validaci\u00f3n de URL. La ejecuci\u00f3n de c\u00f3digo completa a trav\u00e9s de --exec no se demostr\u00f3 en el flujo de una sola URL probado, pero la primitiva subyacente de inyecci\u00f3n de argumentos est\u00e1 confirmada y sin mitigar en todos los puntos de llamada."}], "lastModified": "2026-10-24T15:10:00.190", "sourceIdentifier": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}