偵測到的 yt-dlp Python 套件為 2026.7.4 之前版本。因此，它會受到命令插入弱點的影響。yt-dlp 和 youtube-dl 是命令行音訊/視訊下載器。在 2026.7.4 之前版本，
--write-link、--write-url-link 以及 --write-desktop-link 選項可以使用攻擊者控制的 webpage_url 或檔案名稱中繼資料寫入 .url 或 .desktop 捷徑檔案，無需充分驗證或逸出，進而允許在 Windows 上進行惡意 file:// URI 插入，或是在 Linux 上進行基於新行的桌面項目金鑰插入，如果開啟產生的捷徑，則可以執行命令。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Python 程式庫 yt-dlp < 2026.7.4 命令插入

high Nessus Plugin ID 327412

版本 1.1