CVE-2023-40581

yt-dlp es un fork de youtube-dl con funciones y correcciones adicionales. yt-dlp permite al usuario proporcionar líneas de comando de shell para ejecutar en varias etapas de sus pasos de descarga a través del indicador `--exec`. Este indicador permite la expansión de la plantilla de salida en su argumento, de modo que los valores de metadatos se puedan usar en los comandos del shell. Los campos de metadatos se pueden combinar con la conversión `%q`, cuyo objetivo es citar/escapar estos valores para que puedan pasarse de forma segura al shell. Sin embargo, el escape usado para `cmd` (el shell usado por el `subproceso` de Python en Windows) no escapa adecuadamente a los caracteres especiales, lo que puede permitir la ejecución remota de código si `--exec` se usa directamente con datos remotos creados con fines maliciosos. Esta vulnerabilidad solo afecta a "yt-dlp" en Windows y está presente independientemente de si "yt-dlp" se ejecuta desde "cmd" o desde "PowerShell". La compatibilidad con la expansión de la plantilla de salida en `--exec`, junto con este comportamiento vulnerable, se agregó a `yt-dlp` en la versión 2021.04.11. La versión 2023.09.24 de yt-dlp soluciona este problema escapando correctamente cada carácter especial. `
` será reemplazado por `\r` ya que no se ha encontrado ninguna forma de escapar. Se recomienda actualizar yt-dlp a la versión 2023.09.24 lo antes posible. Además, siempre tenga cuidado al usar --exec, porque si bien esta vulnerabilidad específica ha sido parcheada, usar entradas no validadas en los comandos del shell es inherentemente peligroso. Para usuarios de Windows que no pueden actualizar: 1. Evite utilizar cualquier expansión de plantilla de salida en --exec que no sea {} (ruta de archivo). 2. Si se necesita expansión en --exec, verifique que los campos que está usando no contengan ", | o &. 3. En lugar de usar --exec, escriba la información json y cargue los campos desde allí.