yt-dlp-web-ui: NULL-Pointer-Dereferenzierung in Service.Formats ermöglicht DoS
Zusammenfassung
yt-dlp-web-ui bis einschliesslich Version 4.0.0 enthält eine NULL-Pointer-Dereferenzierung in der JSON-RPC-Methode Service.Formats. Ein entfernter, nicht authentifizierter Angreifer kann den Server mit einer einzelnen manipulierten Anfrage zum Absturz bringen, zum Beispiel mit einem url-Wert wie --version, was eine nicht abgefangene Panic auslöst und den Prozess beendet. Der CVSS-4.0-Basiswert beträgt 8.7, betroffen ist nur die Verfügbarkeit.
Betroffen
- yt-dlp-web-ui 0 bis 4.0.0 (gemäss CNA-Daten)
- Frühere Versionen sind gemäss OSV ebenfalls betroffen
Behoben in
Unbekannt. Die Quellen widersprechen sich: OSV nennt einen korrigierten Commit (143cc28a97fb8e21c84c9436778fff480e2fa36b), dessen Release ist jedoch nicht verifiziert, und es wurde keine Herstellerwarnung gefunden.
Umgehung
- Den Dienst nicht direkt aus nicht vertrauenswürdigen Netzwerken erreichbar machen.
- RPC-Authentifizierung aktivieren (-auth mit Benutzername und Passwort), damit nicht authentifizierte Anfragen abgewiesen werden.
- Den Dienst hinter einem Reverse Proxy oder einem VPN mit Zugriffskontrolle betreiben.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus ist Proof of Concept, automatisierbar: ja, technische Auswirkung: teilweise.
- Es ist keine Authentifizierung erforderlich, und eine einzelne Anfrage genügt, um den Prozess zum Absturz zu bringen.
Unsere Empfehlung
- Prüfen, ob yt-dlp-web-ui läuft und ob der Dienst aus nicht vertrauenswürdigen Netzwerken erreichbar ist.
- Den Zugriff auf vertrauenswürdige Netzwerke beschränken und die Authentifizierung aktivieren, bis eine korrigierte Version bestätigt ist.
- Den Dienst auf unerwartete Neustarts oder Abstürze überwachen.
- Sobald verfügbar, auf eine vom Hersteller als korrigiert bestätigte Version aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- yt-dlp-web-ui GitHub repository github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-109967 osv.dev
- NVD entry via Vulners vulners.com
- CVE aggregator entry (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:30.
Referenzen der NVD (5)
- https://github.com/marcopiovanello/yt-dlp-web-ui
- https://github.com/marcopiovanello/yt-dlp-web-ui/blob/v4.0.0/server/formats/parser.go
- https://github.com/marcopiovanello/yt-dlp-web-ui/blob/v4.0.0/server/rpc/service.go
- https://github.com/vazzzy071-crypto/security-advisories/blob/main/advisories/2026-10-marcopiovanello-yt-dlp-w…
- https://www.vulncheck.com/advisories/yt-dlp-web-ui-through-4.0.0-null-pointer-dereference-dos-via-service-for…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.