There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - `yt-dlp` and `youtube-dl` are command-line audio/video downloaders. Prior to the fixed versions, `yt-dlp`
    and `youtube-dl` do not limit the extensions of downloaded files, which could lead to arbitrary filenames
    being created in the download folder (and path traversal on Windows). Since `yt-dlp` and `youtube-dl` also
    read config from the working directory (and on Windows executables will be executed from the `yt-dlp` or
    `youtube-dl` directory), this could lead to arbitrary code being executed. `yt-dlp` version 2024.07.01
    fixes this issue by whitelisting the allowed extensions. `youtube-dl` fixes this issue in commit `d42a222`
    on the `master` branch and in nightly builds tagged 2024-07-03 or later. This might mean some very
    uncommon extensions might not get downloaded, however it will also limit the possible exploitation
    surface. In addition to upgrading, have `.%(ext)s` at the end of the output template and make sure the
    user trusts the websites that they are downloading from. Also, make sure to never download to a directory
    within PATH or other sensitive locations like one's user directory, `system32`, or other binaries
    locations. For users who are not able to upgrade, keep the default output template (`-o "%(title)s
    [%(id)s].%(ext)s`); make sure the extension of the media to download is a common video/audio/sub/... one;
    try to avoid the generic extractor; and/or use `--ignore-config --config-location ...` to not load config
    from common locations. (CVE-2024-38519)

远程主机受到 GLSA-202409-30 中所述漏洞影响（yt-dlp：多个漏洞）

    在 yt-dlp 中发现多个漏洞。请查看供参考的 CVE 标识符，了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 「yt-dlp」和「youtube-dl」是命令列音訊/視訊下載器。在修正版本之前，「yt-dlp」和「youtube-dl」不會限制下載檔案的副檔名，這可能會導致在下載資料夾中建立任意檔案名稱（以及 Windows 上的路徑遍歷）。由於 'yt-dlp' 和 'youtube-dl' 也會從工作目錄讀取配置 （在 Windows 上，可執行檔將從 'yt-dlp' 或 'youtube-dl' 目錄執行），這可能會導致執行任意程式碼。「yt-dlp」版本 2024.07.01 透過將允許的延伸模組列入白名單來修正此問題。 「youtube-dl」在「master」分支的提交「d42a222」和標記為 2024-07-03 或更新版本的夜間組建中修正了此問題。這可能意味著一些非常不常見的擴展可能無法下載，但它也會限制可能的利用面。除了升級之外，在輸出模板的末尾加上“.%（ext）s”，並確保用戶信任他們正在下載的網站。另外，請確保切勿下載到 PATH 內的目錄或其他敏感位置，例如使用者目錄、「system32」或其他二進位檔位置。對於無法升級的使用者，請保留預設輸出範本 （'-o %（title）s [%（id）s].%（ext）s'）;確保要下載的媒體的擴展名是通用的視頻/音頻/子/...一;
    盡量避免使用通用提取器;和/或使用 '--ignore-config --config-location ...' 不從通用位置載入配置。（CVE-2024-38519）

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - “yt-dlp”和“youtube-dl”是命令行音频/视频下载程序。在修复版本之前，“yt-dlp”和“youtube-dl”不会限制下载文件的扩展名，这可导致在下载文件夹中创建任意文件名（以及在 Windows 上的路径遍历）。由于“yt-dlp”和“youtube-dl”还会从工作目录中读取配置（并且在 Windows 上会从“yt-dlp”或“youtube-dl”目录中执行可执行文件），因此这可导致执行任意代码。“yt-dlp”版本 2024.07.01 通过将允许的扩展加入白名单修复了此问题。“youtube-dl”修复了“master”分支上提交“d42a222”以及标记为 2024-07-03 或更高版本的每日版本中的此问题。这可能意味着可能无法下载某些非常罕见的扩展，但这也限制了可能的利用面。除了升级，在输出模板的末尾加上“.%（ext）s”，并确保用户信任他们下载的网站。此外，请确保永远不要下载到 PATH 内的目录或其他敏感位置，例如用户目录、“system32”或其他二进制位置。对于无法升级的用户，请保留默认的输出模板 （'-o %（title）s [%（id）s].%（ext）s'）;确保要下载的媒体的扩展名是常见的视频/音频/子/...一;
    尽量避免使用通用提取器;和/或使用“--ignore-config --config-location ...”不从通用位置加载配置。（CVE-2024-38519）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機受到 GLSA-202409-30 中所述的弱點影響 (yt-dlp：多個弱點)

    在 yt-dlp 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 40 ホストには、FEDORA-2024-0ba1c1a435 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    2024.07.02への更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 「yt-dlp」および「youtube-dl」は、コマンドラインのオーディオ/ビデオダウンローダーです。修正済みバージョンより前では、「yt-dlp」および「youtube-dl」はダウンロードファイルの拡張子を制限しないため、任意のファイル名がダウンロードフォルダに(および Windows ではパストラバーサル)作成される可能性があります。「yt-dlp」および「youtube-dl」は作業ディレクトリから構成も読み取るため(さらに、Windows では実行可能ファイルが「yt-dlp」または「youtube-dl」ディレクトリから実行されます)、これにより任意のコードが実行される可能性があります。バージョン 2024.07.01 「yt-dlp」は、許可された拡張子をホワイトリストに登録することでこの問題を修正します。「youtube-dl」は、「master」ブランチのコミット「d42a222」、および 2024-07-03 以降にタグ付けされたナイトリービルド内のこの問題を修正します。これは、一部の非常に一般的でない拡張子がダウンロードされない可能性があることを意味している場合がありますが、悪用可能な範囲も制限します。アップグレードに加えて、出力テンプレートの末尾に「.%(ext)s」を含め、ユーザーがダウンロード元の Web サイトを信頼していることを確認してください。また、PATH 内のディレクトリや、ユーザーディレクトリ、「system32」またはその他のバイナリロケーションなどの機密性の高い場所に、ダウンロードしないでください。アップグレードできないユーザーについては、デフォルトの出力テンプレート('-o %(title)s [%(id)s].%(ext)s'))を維持します。ダウンロードするメディアの拡張子が共通のビデオ/オーディオ/サブ/...1つ;
    一般的なエクストラクタは避けてください。および/または「--ignore-config --config-location ...」を使用して、共通の場所から構成をロードしないようにします。(CVE-2024-38519)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-72fb215fcd のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    2024.07.09への更新

    ----

    2024.07.07への更新

    ----

    2024.07.02への更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote host is affected by the vulnerability described in GLSA-202409-30 (yt-dlp: Multiple Vulnerabilities)

    Multiple vulnerabilities have been found in yt-dlp. Please review the referenced CVE identifiers for     details.

Tenable has extracted the preceding description block directly from the Gentoo Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 40 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-0ba1c1a435 advisory.

    Update to 2024.07.02


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the TSSA-2025:0179 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2024-38519:
    `yt-dlp` and `youtube-dl` are command-line audio/video downloaders. Prior to the fixed versions,`yt-dlp`     and `youtube-dl` do not limit the extensions of downloaded files, which could lead to arbitrary filenames     being created in the download folder (and path traversal on Windows). Since `yt-dlp` and `youtube-dl` also     read config from the working directory (and on Windows executables will be executed from the `yt-dlp` or     `youtube-dl` directory), this could lead to arbitrary code being executed.




    `yt-dlp` version 2024.07.01 fixes this issue by whitelisting the allowed extensions. `youtube-dl` fixes     this issue in commit `d42a222` on the `master` branch and in nightly builds tagged 2024-07-03 or later.
    This might mean some very uncommon extensions might not get downloaded, however it will also limit the     possible exploitation surface. In addition to upgrading, have `.%(ext)s` at the end of the output template     and make sure the user trusts the websites that they are downloading from. Also, make sure to never     download to a directory within PATH or other sensitive locations like one's user directory, `system32`, or     other binaries locations. For users who are not able to upgrade, keep the default output template (`-o     %(title)s [%(id)s].%(ext)s`); make sure the extension of the media to download is a common     video/audio/sub/... one; try to avoid the generic extractor; and/or use `--ignore-config --config-location     ...` to not load config from common locations.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - `yt-dlp` and `youtube-dl` are command-line audio/video downloaders. Prior to the fixed versions, `yt-dlp`     and `youtube-dl` do not limit the extensions of downloaded files, which could lead to arbitrary filenames     being created in the download folder (and path traversal on Windows). Since `yt-dlp` and `youtube-dl` also     read config from the working directory (and on Windows executables will be executed from the `yt-dlp` or     `youtube-dl` directory), this could lead to arbitrary code being executed. `yt-dlp` version 2024.07.01     fixes this issue by whitelisting the allowed extensions. `youtube-dl` fixes this issue in commit `d42a222`     on the `master` branch and in nightly builds tagged 2024-07-03 or later. This might mean some very     uncommon extensions might not get downloaded, however it will also limit the possible exploitation     surface. In addition to upgrading, have `.%(ext)s` at the end of the output template and make sure the     user trusts the websites that they are downloading from. Also, make sure to never download to a directory     within PATH or other sensitive locations like one's user directory, `system32`, or other binaries     locations. For users who are not able to upgrade, keep the default output template (`-o %(title)s     [%(id)s].%(ext)s`); make sure the extension of the media to download is a common video/audio/sub/... one;
    try to avoid the generic extractor; and/or use `--ignore-config --config-location ...` to not load config     from common locations. (CVE-2024-38519)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 39 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-72fb215fcd advisory.

    Update to 2024.07.09

    ----

    Update to 2024.07.07

    ----

    Update to 2024.07.02


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
411979	SCA: security update for yt-dlp (GHSA-79w7-vh3h-8g4j)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
426681	Alpine: multiple yt-dlp packages: security update to 2024.07.01-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	high
411979	SCA: security update for yt-dlp (GHSA-79w7-vh3h-8g4j)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
426681	Alpine: multiple yt-dlp packages: security update to 2024.07.01-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	high
207891	GLSA-202409-30：yt-dlp：多个漏洞	Nessus	Gentoo Local Security Checks	2024/9/28	2024/9/28	high
228983	Linux Distros 未修補的弱點：CVE-2024-38519	Nessus	Misc.	2025/3/5	2026/6/11	high
228983	Linux Distros 未修补的漏洞：CVE-2024-38519	Nessus	Misc.	2025/3/5	2026/6/11	high
207891	GLSA-202409-30：yt-dlp：多個弱點	Nessus	Gentoo Local Security Checks	2024/9/28	2024/9/28	high
201940	Fedora 40: yt-dlp (2024-0ba1c1a435)	Nessus	Fedora Local Security Checks	2024/7/7	2024/7/7	high
228983	Linux Distros のパッチ未適用の脆弱性: CVE-2024-38519	Nessus	Misc.	2025/3/5	2026/6/11	high
202453	Fedora 39: yt-dlp (2024-72fb215fcd)	Nessus	Fedora Local Security Checks	2024/7/16	2024/7/16	high
207891	GLSA-202409-30 : yt-dlp: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/9/28	2024/9/28	high
201940	Fedora 40 : yt-dlp (2024-0ba1c1a435)	Nessus	Fedora Local Security Checks	2024/7/7	2024/7/7	high
239934	TencentOS Server 4: youtube-dl (TSSA-2025:0179)	Nessus	Tencent Local Security Checks	2025/6/16	2025/12/4	high
228983	Linux Distros Unpatched Vulnerability : CVE-2024-38519	Nessus	Misc.	2025/3/5	2026/6/11	high
202453	Fedora 39 : yt-dlp (2024-72fb215fcd)	Nessus	Fedora Local Security Checks	2024/7/16	2024/7/16	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high