Communitygithub.com

valdiviasec/mosrai

Verwenden Sie dies, wenn Sie Anwendungen testen, die Medien-Uploads akzeptieren und diese mit ffmpeg verarbeiten (Audiotranskription, Videoverarbeitung, Bildkonvertierung). Wenn der Upload-Endpunkt die Datei-Magie-Bytes nicht validiert und ffmpeg ohne Protokollbeschränkungen aufgerufen wird, ermöglicht eine HLS-Playlist mit file:// Segment-URLs das Lesen von Dateien über Benutzergrenzen hinweg und umgeht dabei alle anwendungsspezifischen ACLs.

Was ist mosrai?

Der Skill `valdiviasec/mosrai` ist ein spezialisiertes Werkzeug für Penetrationstester und Sicherheitsforscher, die Webanwendungen auf Schwachstellen im Zusammenhang mit Medien-Uploads und ffmpeg-Verarbeitung untersuchen. Er zielt auf Anwendungen ab, die Benutzern das Hochladen von Mediendateien (Audio, Video, Bilder) erlauben und diese mit ffmpeg weiterverarbeiten – typisch für Transkriptionsdienste, Video-Editoren oder Konvertierungstools. Der Skill identifiziert kritische Sicherheitslücken, wenn der Upload-Endpunkt keine Prüfung der Datei-Magie-Bytes durchführt und ffmpeg ohne Protokollbeschränkungen ausgeführt wird. In diesem Fall kann ein Angreifer eine bösartige HLS-Playlist (M3U8-Datei) mit `file://` Protokollen in den Segment-URLs bereitstellen, was zu einem Cross-User File Read führt – ein Angreifer kann dadurch beliebige lokale Dateien eines anderen Benutzers lesen, ohne die anwendungsspezifischen Zugriffskontrollen (ACLs) zu umgehen. Der Skill ist besonders nützlich für Schwachstellenscans von Diensten wie Audio-Transkription, Video-Transkodierung und Bildkonvertierung und wird mit Auslösern wie "media upload", "audio processing", "ffmpeg", "transcription", "file upload", "HLS", "m3u8", "file read" und "LFI via media" aktiviert.

Funktioniert mit~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-fileread
Original anzeigen→Alle Skills durchsuchen

In Ihrer bevorzugten KI fragen

Öffnet einen neuen Chat, in dem dieser Agent-Skill bereits geladen ist.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Dokumentation

Was macht mosrai?

Verwenden Sie dies, wenn Sie Anwendungen testen, die Medien-Uploads akzeptieren und diese mit ffmpeg verarbeiten (Audiotranskription, Videoverarbeitung, Bildkonvertierung). Wenn der Upload-Endpunkt keine Datei-Magie-Bytes validiert und ffmpeg ohne Protokollbeschränkungen aufgerufen wird, ermöglicht eine HLS-Playlist mit file:// Segment-URLs das Lesen von Dateien über Benutzergrenzen hinweg und umgeht dabei alle anwendungsspezifischen ACLs. Auslöser - "media upload", "audio processing", "ffmpeg", "transcription", "file upload", "HLS", "m3u8", "file read", "LFI via media", "cross-u

Verwandte Skills

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community