mirror of https://github.com/yt-dlp/yt-dlp
master
release
gh-pages
2021.01.07
2021.01.07-1
2021.01.08
2021.01.09
2021.01.10
2021.01.12
2021.01.14
2021.01.16
2021.01.20
2021.01.24
2021.01.24-1
2021.01.29
2021.02.04
2021.02.09
2021.02.15
2021.02.19
2021.02.24
2021.03.01
2021.03.03
2021.03.03.2
2021.03.07
2021.03.15
2021.03.21
2021.03.24
2021.03.24.1
2021.04.03
2021.04.11
2021.04.22
2021.05.11
2021.05.20
2021.06.01
2021.06.08
2021.06.09
2021.06.23
2021.07.07
2021.07.21
2021.07.24
2021.08.02
2021.08.10
2021.09.01
2021.09.02
2021.09.25
2021.10.09
2021.10.10
2021.10.22
2021.11.10
2021.11.10.1
2021.12.01
2021.12.25
2021.12.27
2022.01.21
2022.02.03
2022.02.04
2022.03.08
2022.03.08.1
2022.04.08
2022.05.18
2022.06.22
2022.06.22.1
2022.06.29
2022.07.18
2022.08.08
2022.08.14
2022.08.18.36
2022.08.19
2022.09.01
2022.10.04
2022.11.11
2023.01.02
2023.01.06
2023.02.17
2023.03.03
2023.03.04
2023.06.21
2023.06.22
2023.07.06
2023.09.24
2023.10.07
2023.10.13
2023.11.14
2023.11.16
2023.12.30
2024.03.10
2024.04.09
2024.05.26
2024.05.27
2024.07.01
2024.07.02
2024.07.07
2024.07.08
2024.07.09
2024.07.16
2024.07.25
2024.08.01
2024.08.06
2024.09.27
2024.10.07
2024.10.22
2024.11.04
${ noResults }
1 Commits (5dda1edef93d94c9a49672f905df0c49c75c5739)
| Author | SHA1 | Message | Date |
|---|---|---|---|
Filippo Valsorda
|
4d318be195 |
[update] fix (unexploitable) BB'06 vulnerability in rsa_verify
The rsa_verify code was vulnerable to a BB'06 attack, allowing to forge signatures for arbitrary messages if and only if the public key exponent is 3. Since the updates key is hardcoded to 65537, there is no risk for youtube-dl, but I don't want vulnerable code in the wild. The new function adopts a way safer approach of encoding-and-comparing to replace the dangerous parsing code. |
9 years ago |