偵測到的 yt-dlp Python 套件為 2026.7.4 之前版本。因此，它會受到命令插入弱點的影響。yt-dlp 和 youtube-dl 是命令行音訊/視訊下載器。在 2026.7.4 之前版本，
--write-link、--write-url-link 以及 --write-desktop-link 選項可以使用攻擊者控制的 webpage_url 或檔案名稱中繼資料寫入 .url 或 .desktop 捷徑檔案，無需充分驗證或逸出，進而允許在 Windows 上進行惡意 file:// URI 插入，或是在 Linux 上進行基於新行的桌面項目金鑰插入，如果開啟產生的捷徑，則可以執行命令。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - yt-dlp 和 youtube-dl 是命令行音频/视频下载程序。在2026.7.4之前 ，--write-link
    --write-url-link以及 --write-desktop-link 选项可在未经充分验证或转义的情况下使用攻击者控制的webpage_url或文件名元数据写入 .url 或 .desktop 快捷方式文件，从而允许在 Windows 上进行恶意 file:// URI 注入，或在打开生成的快捷方式时可在基于换行符的桌面条目键注入 Linux 上执行命令。此问题已在 2026.7.4 版本中修复。
    (CVE-2026-55404)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测到 yt-dlp Python 程序包的版本低于 2026.7.4。因此，它受到一个命令注入漏洞的影响。yt-dlp 和 youtube-dl 是命令行音频/视频下载程序。在 2026.7.4 之前，
--write-link、--write-url-link 以及 --write-desktop-link 选项可在未经充分验证或转义的情况下使用攻击者控制的 webpage_url 或文件名元数据写入 .url 或 .desktop 快捷方式文件，从而允许在 Windows 上进行恶意 file:// URI 注入，或在打开生成的快捷方式时可在基于换行符的桌面条目键注入 Linux 上执行命令。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - yt-dlp 和 youtube-dl 是命令行音訊/視訊下載器。在 2026.7.4 之前、--write-link、
    --write-url-link 以及 --write-desktop-link 選項可以使用攻擊者控制的 webpage_url 或檔案名稱中繼資料寫入 .url 或 .desktop 捷徑檔案，無需充分驗證或逸出，進而允許在 Windows 上進行惡意 file:// URI 插入，或是在 Linux 上進行基於新行的桌面項目金鑰插入，如果開啟產生的捷徑，則可以執行命令。2026.7.4 版已修正此問題。
    (CVE-2026-55404)

請注意，Nessus 依賴供應商報告的套件存在。

検出された yt-dlp Python パッケージのバージョンは、2026.7.4 より前です。このため、コマンドインジェクションの脆弱性の影響を受けます。yt-dlp および youtube-dl は、コマンドライン用のオーディオ/ビデオダウンローダーです。2026.7.4 より前のバージョンでは、
--write-link、--write-url-link および --write-desktop-link オプションは、十分な検証またはエスケープなしに攻撃者が制御する webpage_url またはファイル名メタデータを使用して .url または .desktop のショートカットファイルに書き込む可能性があります。これにより、Windows での悪意のある file:// URI の注入、または生成されたショートカットが開かれた場合にコマンドを実行できる Linux 上の改行ベースのデスクトップエントリキーの注入が可能になります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-c0410a0829 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    yt-dlp-2026.08.19-1.fc45 の自動更新。

    ##### **変更ログ**

    ```
    * 2026 年 8 月 20 日 (木曜日) Mikel Olasagasti Uranga <mikel@olasagasti.info> - 2026.08.19-1
    - 2026.08.19 への更新 - rhbz#2497100 rhbz#2505367 rhbz#2491888 rhbz#2491889 rhbz#2491890 rhbz#2499189 を解決
    * 2026 年 7 月 17 日 (金曜日) Fedora リリースエンジニアリング <releng@fedoraproject.org> ～ 2026.06.09-2
    - https://fedoraproject.org/wiki/Fedora_45_Mass_Rebuild の再構築

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 46 ホストには、FEDORA-2026-139d3aad5f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    yt-dlp-2026.08.19-1.fc46 の自動更新。

    ##### **変更ログ**

    ```
    * 2026 年 8 月 20 日 (木曜日) Mikel Olasagasti Uranga <mikel@olasagasti.info> - 2026.08.19-1
    - 2026.08.19 への更新 - rhbz#2497100 rhbz#2505367 rhbz#2491888 rhbz#2491889 rhbz#2491890 rhbz#2499189 を解決
    * 2026 年 7 月 17 日 (金曜日) Fedora リリースエンジニアリング <releng@fedoraproject.org> ～ 2026.06.09-2
    - https://fedoraproject.org/wiki/Fedora_45_Mass_Rebuild の再構築

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:22142-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    yt-dlp の変更:

    バージョン 2026.08.19 への更新:

      * utils:float_or_none:キャッチオーバーフローエラー
      * americastestkitchen:シーズン/シリーズ抽出を修正します
      * apple:エクストラクタを作り替えます
      * ard:デッドエクストラクタを削除します
      * bandcamp:ブラウザのなりすましをサポート
      * bfmtv:エクストラクタを修正します
      * instagram:ログインした抽出を修正します
      *ショールーム:エクストラクターをリワーク
      * tiktok:エクストラクタを修正します
      * tiktok:フォーマットの抽出を修正します
      * tiktok:共有URLをサポート
      * twitter:broadcast:イベント処理を修正します
      * vimeo:ios および macOS のクライアントを削除します
      * whyp:エクストラクタを修正します
      * youtube:visionos player クライアントを追加
      * youtube:web_embeddedクライアントのフォールバックを追加します
      * youtube:共同編集者のための抽出channel_follower_count
      * youtube:ライブアダプティブフラグメント生成を修正
      * youtube:デフォルトのクライアントからandroid_vrを削除します
      * youtube:tab:チャンネルメタデータを常に抽出
      * hls:テストでの空のフラグメントリストのクラッシュを修正します

    バージョン 2026.07.04 への更新:

      * 推奨される Python の最小バージョンが、 3.11
      * セキュリティ:[CVE-2026-55404 bsc#1286026] --write-link 出力の不適切なサニタイズによるダウンストリームコマンドインジェクション
      * 現在は、 --write-link オプションが使用される場合に、ショートカットファイルデータが適切に検証およびサニタイズされます
      * デバッグ出力に警告を常に含めます
      * allow-unsafe-ext compat オプションを修正します
      * Python の最小推奨バージョンを 以下に引き上げます 3.11
      * --write-link 出力の値を検証およびエスケープします
      * クッキー:SQL 文字列の引用に ' を使用
      * utils:make_parent_dirs 用の make_dir を廃止
      * utils:HTTPHeaderDict:__ior__を修正
      * utils:parse_duration:必要に応じて int を返します
      * utils:parse_resolution:fps サフィックスをサポート
      * utils:pkcs1pad:無効な PKCS#1 v1.5 パディングバイトを修正します
      * utils:品質:インデックス検索の繰り返しを回避
      * utils:random_user_agent:バージョンの範囲を更新します 143-149 => 144-150
      * リクエストエラー出力に常に id を含めます
      * リクエストロギングを修正します
      * arte:プレイリストサポートを修正します
      * bandcamp:weekly:エクストラクタを修正します
      * bilibili:API 抽出を修正します
      * instagram:クッキーが無効になることを検出
      * instagram:リワークエクストラクター
      * linkedin:破損したログインサポートを削除
      * mgtv:VIP ストリーム抽出を修正します
      * mxplayer:エクストラクタを修正します
      * mxplayer:エクストラクタを作り替えます
      * niconico:エラー検出を修正します
      * niconico:ショートをサポートする
      * omnyfm:エクストラクタを追加します
      * openrec:エクストラクタを作り替えます
      * patreon:新しい URL 形式をサポート
      * peertube:パスワードで保護された動画をサポートします
      * periscope:メタデータ抽出を改善します
      * reddit:破損したログインサポートを削除
      * soundcloud:プレイリストのuploader_url抽出
      * soundcloud:コメントを抽出します
      * soundcloud:メタデータ抽出を改善します
      * streaks:エクストラクタを修正します
      * svt:エクストラクタを修正
      * telewebion:エクストラクタを修正
      * trovo:デッドエクストラクタを削除します
      * truth:共有 URL をサポート
      * tviplayer:エクストラクタを修正
      * unsupported:未サポートのサイトを更新してください
      * wrestleuniverse:vod:エクストラクタを修正
      * youtube:省略ユニットのextract_relative_timeを修正
      * youtube:強制されたプリロール待機時間の検出を修正します
      * youtube:マイナーな問題を修正
      * youtube:ライブアダプティブフォーマットをサポート
      * tab:コラボレーターのフラット抽出を修正
      * tab:フラットなプレイリストのメタデータ抽出を修正します
      * tab:メタデータ抽出を修正します
      * tab:ページネーションを修正
      * zan:エクストラクタを追加します
      * zdf:ライブストリームを検出
      * ズーム:クリップ:エクストラクタを追加
      * external:aria2c でのダウンロード再開を修正
      * external:curl:開発バージョンをサポート
      * mhtml:ストーリーボードのコンテンツ長計算を修正します
      * build:17 の依存関係を更新
      * build:6 つの依存関係を更新
      * cleanup:無効な情報dictフィールドを修正します
      * cleanup:マイナーな間違いを修正します
      * cleanup:RTSP および MMS サポートを削除
      * cleanup:無効なサンプル/テスト URL を置き換えます
      * クリーンアップ:その他:997fa14
      * docs:AI なし/LLM ポリシーなしを十分に明確にします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、cd5bfb7d-ac34-11f1-9b94-901b0e13f1a0 のアドバイザリに記載されている脆弱性の影響を受けます。

    https://github.com/yt-dlp/yt-dlp/security/advisories/GHSA-6v4j-43gg-vj32 による報告:
    yt-dlp および youtube-dl は、コマンドラインのオーディオ/ビデオダウンローダーです。
            2026.7.4 より前の --write-link、--write-url-link、および
            --write-desktop-link オプションは、十分な検証またはエスケープなしで攻撃者が制御するwebpage_urlまたはファイル名メタデータを使用して .url または .desktop ショートカットファイルに書き込む可能性があります。これにより、Windows での悪意のある file:// URI インジェクションや、生成されたショートカットが開かれた場合にコマンドを実行できる Linux 上の改行ベースのデスクトップエントリキーインジェクションが可能になります。この問題はバージョン 2026.7.4 で修正されています。


Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - yt-dlp および youtube-dl は、コマンドラインの音声 / 動画ダウンローダーです。2026.7.4 より前、--write-link、
    --write-url-link、および --write-desktop-link オプションは、十分な検証またはエスケープなしに攻撃者が制御する webpage_url またはファイル名メタデータを使用して .url または .desktop のショートカットファイルに書き込む可能性があります。これにより、Windows での悪意のある file:// URI の注入、または生成されたショートカットが開かれた場合にコマンドを実行できる Linux 上の改行ベースのデスクトップエントリキーの注入が可能になります。この問題はバージョン 2026.7.4 で修正されています。
    (CVE-2026-55404)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The detected version of the yt-dlp Python package is prior to 2026.7.4. It is, therefore, affected by a command injection vulnerability. yt-dlp and youtube-dl are command-line audio/video downloaders. Prior to 2026.7.4, the
--write-link, --write-url-link, and --write-desktop-link options can write .url or .desktop shortcut files using attacker-controlled webpage_url or filename metadata without sufficient validation or escaping, allowing malicious file:// URI injection on Windows or newline-based desktop entry key injection on Linux that can execute commands if the generated shortcut is opened.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-c0410a0829 advisory.

    Automatic update for yt-dlp-2026.08.19-1.fc45.

    ##### **Changelog**

    ```
    * Thu Aug 20 2026 Mikel Olasagasti Uranga <mikel@olasagasti.info> - 2026.08.19-1
    - Update to 2026.08.19 - Closes rhbz#2497100 rhbz#2505367 rhbz#2491888       rhbz#2491889 rhbz#2491890 rhbz#2499189
    * Fri Jul 17 2026 Fedora Release Engineering <releng@fedoraproject.org> - 2026.06.09-2
    - Rebuilt for https://fedoraproject.org/wiki/Fedora_45_Mass_Rebuild

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 46 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-139d3aad5f advisory.

    Automatic update for yt-dlp-2026.08.19-1.fc46.

    ##### **Changelog**

    ```
    * Thu Aug 20 2026 Mikel Olasagasti Uranga <mikel@olasagasti.info> - 2026.08.19-1
    - Update to 2026.08.19 - Closes rhbz#2497100 rhbz#2505367 rhbz#2491888       rhbz#2491889 rhbz#2491890 rhbz#2499189
    * Fri Jul 17 2026 Fedora Release Engineering <releng@fedoraproject.org> - 2026.06.09-2
    - Rebuilt for https://fedoraproject.org/wiki/Fedora_45_Mass_Rebuild

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:22142-1 advisory.

    Changes in yt-dlp:

    Update to version 2026.08.19:

      * utils: float_or_none: Catch OverflowError
      * americastestkitchen: Fix season/series extraction
      * apple: Rework extractors
      * ard: Remove dead extractor
      * bandcamp: Support browser impersonation
      * bfmtv: Fix extractor
      * instagram: Fix logged-in extraction
      * showroom: Rework extractors
      * tiktok: Fix extractor
      * tiktok: Fix formats extraction
      * tiktok: Support share URLs
      * twitter: broadcast: Fix events handling
      * vimeo: Remove ios and macos clients
      * whyp: Fix extractor
      * youtube: Add visionos player client
      * youtube: Add web_embedded client fallbacks
      * youtube: Extract channel_follower_count for collaborators
      * youtube: Fix live adaptive fragments generation
      * youtube: Remove android_vr from default clients
      * youtube: tab: Always extract channel metadata
      * hls: Fix crash on empty fragment lists in tests

    Update to version 2026.07.04:

      * The minimum recommended Python version has been raised to         3.11
      * Security: [CVE-2026-55404 bsc#1286026] Downstream command injection via         improper sanitization of --write-link output
      * Shortcut file data is now properly validated and sanitized         when the --write-link options are used
      * Always include warnings in debug output
      * Fix allow-unsafe-ext compat option
      * Raise minimum recommended Python version to 3.11
      * Validate and escape values in --write-link output
      * cookies: Use ' instead of  for SQL string quoting
      * utils: Deprecate make_dir in favor of make_parent_dirs
      * utils: HTTPHeaderDict: Fix __ior__
      * utils: parse_duration: Return int when appropriate
      * utils: parse_resolution: Support fps suffixes
      * utils: pkcs1pad: Fix invalid PKCS#1 v1.5 padding bytes
      * utils: qualities: Avoid repeated index lookups
      * utils: random_user_agent: Bump version range 143-149 =>         144-150
      * Always include id in request error output
      * Fix request logging
      * arte: Fix playlist support
      * bandcamp: weekly: Fix extractor
      * bilibili: Fix API extraction
      * instagram: Detect when cookies are invalidated
      * instagram: Rework extractor
      * linkedin: Remove broken login support
      * mgtv: Fix VIP stream extraction
      * mxplayer: Fix extractors
      * mxplayer: Rework extractors
      * niconico: Fix error detection
      * niconico: Support shorts
      * omnyfm: Add extractors
      * openrec: Rework extractors
      * patreon: Support new URL format
      * peertube: Support password-protected videos
      * periscope: Improve metadata extraction
      * reddit: Remove broken login support
      * soundcloud: Extract uploader_url for playlists
      * soundcloud: Extract comments
      * soundcloud: Improve metadata extraction
      * streaks: Fix extractor
      * svt: Fix extractor
      * telewebion: Fix extractor
      * trovo: Remove dead extractors
      * truth: Support share URLs
      * tviplayer: Fix extractor
      * unsupported: Update unsupported sites
      * wrestleuniverse: vod: Fix extractor
      * youtube: Fix extract_relative_time for abbreviated units
      * youtube: Fix detection of forced preroll wait time
      * youtube: Fix minor issues
      * youtube: Support live adaptive formats
      * tab: Fix flat extraction of collaborators
      * tab: Fix flat playlist metadata extraction
      * tab: Fix metadata extraction
      * tab: Fix pagination
      * zan: Add extractor
      * zdf: Detect livestreams
      * zoom: clips: Add extractor
      * external: Fix resuming downloads with aria2c
      * external: curl: Support development versions
      * mhtml: Fix storyboard content-length calculation
      * build: Update 17 dependencies
      * build: Update 6 dependencies
      * cleanup: Fix invalid info dict fields
      * cleanup: Fix minor mistakes
      * cleanup: Remove RTSP and MMS support
      * cleanup: Replace dead example/test URL
      * cleanup: Miscellaneous: 997fa14
      * docs: Make No AI / No LLM Policy abundantly clear

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the cd5bfb7d-ac34-11f1-9b94-901b0e13f1a0 advisory.

    https://github.com/yt-dlp/yt-dlp/security/advisories/GHSA-6v4j-43gg-vj32 reports:
    yt-dlp and youtube-dl are command-line audio/video downloaders.
            Prior to 2026.7.4, the --write-link, --write-url-link, and
            --write-desktop-link options can write .url or .desktop shortcut             files using attacker-controlled webpage_url or filename metadata             without sufficient validation or escaping, allowing malicious             file:// URI injection on Windows or newline-based desktop             entry key injection on Linux that can execute commands if             the generated shortcut is             opened. This issue is fixed in version 2026.7.4.


Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - yt-dlp and youtube-dl are command-line audio/video downloaders. Prior to 2026.7.4, the --write-link,
    --write-url-link, and --write-desktop-link options can write .url or .desktop shortcut files using     attacker-controlled webpage_url or filename metadata without sufficient validation or escaping, allowing     malicious file:// URI injection on Windows or newline-based desktop entry key injection on Linux that can     execute commands if the generated shortcut is opened. This issue is fixed in version 2026.7.4.
    (CVE-2026-55404)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
327412	Python 程式庫 yt-dlp < 2026.7.4 命令插入	Nessus	Misc.	2026/7/16	2026/7/17	high
326071	Linux Distros 未修补的漏洞：CVE-2026-55404	Nessus	Misc.	2026/7/10	2026/11/12	high
327412	Python 库 yt-dlp < 2026.7.4 命令注入	Nessus	Misc.	2026/7/16	2026/7/17	high
326071	Linux Distros 未修補弱點：CVE-2026-55404	Nessus	Misc.	2026/7/10	2026/11/12	high
327412	Python ライブラリ yt-dlp < 2026.7.4 コマンドインジェクション	Nessus	Misc.	2026/7/16	2026/7/17	high
338382	Fedora 45 : yt-dlp (2026-c0410a0829)	Nessus	Fedora Local Security Checks	2026/8/20	2026/8/20	critical
338393	Fedora 46 : yt-dlp (2026-139d3aad5f)	Nessus	Fedora Local Security Checks	2026/8/20	2026/8/20	critical
370419	openSUSE 16 セキュリティ更新: yt-dlp (openSUSE-SU-2026:22142-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	high
345446	FreeBSD:yt-dlp:特殊元素の不適切な中和(cd5bfb7d-ac34-11f1-9b94-901b0e13f1a0)	Nessus	FreeBSD Local Security Checks	2026/9/12	2026/9/12	high
326071	Linux Distros のパッチ未適用の脆弱性: CVE-2026-55404	Nessus	Misc.	2026/7/10	2026/11/12	high
327412	Python Library yt-dlp < 2026.7.4 Command Injection	Nessus	Misc.	2026/7/16	2026/7/17	high
338382	Fedora 45 : yt-dlp (2026-c0410a0829)	Nessus	Fedora Local Security Checks	2026/8/20	2026/8/20	critical
338393	Fedora 46 : yt-dlp (2026-139d3aad5f)	Nessus	Fedora Local Security Checks	2026/8/20	2026/8/20	critical
370419	openSUSE 16 Security Update : yt-dlp (openSUSE-SU-2026:22142-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	high
345446	FreeBSD : yt-dlp: Improper Neutralization of Special Elements (cd5bfb7d-ac34-11f1-9b94-901b0e13f1a0)	Nessus	FreeBSD Local Security Checks	2026/9/12	2026/9/12	high
326071	Linux Distros Unpatched Vulnerability : CVE-2026-55404	Nessus	Misc.	2026/7/10	2026/11/12	high

偵測

搜尋 Plugin

high

high

high

high

high

critical

critical

high

high

high

high

critical

critical

high

high

high