製品・ソフトウェアに関する情報
Vulnerability Search
yt-dlp projectのyt-dlpにおけるインジェクションに関する脆弱性
Title yt-dlp projectのyt-dlpにおけるインジェクションに関する脆弱性
Summary

yt-dlpはコマンドラインの音声および動画ダウンローダーです。2026年6月9日以前のバージョンでは、aria2cをフラグメント化されたマニフェスト形式（例えばHLSやDASHストリーム）の外部ダウンローダーとして使用する場合に、yt-dlpがaria2cへ十分にサニタイズされていない入力を渡してしまう問題がありました。その結果、攻撃者が任意のファイルを書き込むことが可能になりました。Windowsプラットフォームでは、この脆弱性により即座に任意のコードを実行される恐れがあります。Windows以外のプラットフォームでは、次回yt-dlpを実行した際に任意のコードが実行される可能性があります。この脆弱性は2026年6月9日に修正されました。

Possible impacts ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 23, 2026, midnight
Registration Date June 29, 2026, 11:13 a.m.
Last Update June 29, 2026, 11:13 a.m.
CVSS3.0 : 緊急
Score 9.6
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Affected System
yt-dlp project
yt-dlp 2026.06.09 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月29日]
  掲載		 June 29, 2026, 11:13 a.m.
NVD Vulnerability Information
CVE-2026-50574
Summary

yt-dlp is a command-line audio/video downloader. Prior to 2026.06.09, if aria2c is used as an external downloader for a fragmented manifest format (such as an HLS/DASH stream), yt-dlp passes insufficiently sanitized input to aria2c that allows an attacker to perform an arbitrary file write. On Windows platforms, this can lead to immediate arbitrary code execution. On non-Windows platforms, this can lead to arbitrary code execution upon the next invocation of yt-dlp. This vulnerability is fixed in 2026.06.09.

Publication Date June 24, 2026, 2:17 a.m.
Registration Date June 27, 2026, 4:14 a.m.
Last Update June 27, 2026, 5:11 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:yt-dlp_project:yt-dlp:*:*:*:*:*:*:*:* 2026.06.09
Related information, measures and tools
Common Vulnerabilities List