Coordinated Disclosure Timeline：

• 2024-05-24：报告发送给维护者。
• 2024-07-03：发布带有修复的v2024.07.03，并发布公告。

Details：

• Path traversal saving subtitles (GHSL-2024-089)：youtube-dl可下载视频和字幕，不同提取器处理字幕方式不同，会根据提取的扩展名构建字幕输出文件名，路径遍历注入在 Linux 上不生效但在 Windows 上有效。
• Exploitability and Proof of Concept (PoC)：可利用故意制作的字幕扩展名在支持的网站上进行攻击，如通过 URL 走私或通用提取器，给出了 PoC 的具体步骤和示例代码，此问题可能导致未经授权的文件系统修改，甚至远程代码执行（CVE-2024-38519）。