Communitygithub.com

valdiviasec/mosrai

Úsese al probar aplicaciones que aceptan subidas de medios y las procesan con ffmpeg (transcripción de audio, procesamiento de vídeo, conversión de imágenes).

¿Qué es mosrai?

Esta habilidad está diseñada para profesionales de seguridad ofensiva y pruebas de penetración que auditan aplicaciones web con funcionalidades de subida y procesamiento de medios mediante ffmpeg. Detecta una vulnerabilidad específica donde, si el endpoint de subida no valida los magic bytes del archivo y ffmpeg se invoca sin restricciones de protocolo, un atacante puede proporcionar una lista de reproducción HLS (m3u8) maliciosa que contiene segmentos con URLs de tipo file://. Esto permite la lectura de archivos arbitrarios del sistema del servidor, eludiendo cualquier control de acceso a nivel de aplicación (ACL). La habilidad es útil para plataformas como Claude Code o Cursor, y se activa con términos como "media upload", "ffmpeg", "transcription", "HLS", "m3u8", "LFI via media" y "file read". Funciona guiando al agente para generar una lista de reproducción HLS que apunte a archivos sensibles del sistema (por ejemplo, /etc/passwd) y subirla como un archivo de medios válido, explotando la confianza excesiva de ffmpeg en las URLs file://.

Compatible con~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-fileread
Ver original→Ver todas las habilidades

Preguntar en tu IA favorita

Abre un nuevo chat con esta habilidad de agente ya precargada.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentación

¿Qué hace mosrai?

Úsese al probar aplicaciones que aceptan subidas de medios y las procesan con ffmpeg (transcripción de audio, procesamiento de vídeo, conversión de imágenes). Si el endpoint de subida no valida los magic bytes del archivo y ffmpeg se invoca sin restricciones de protocolo, una lista de reproducción HLS con URLs de segmento file:// logra la lectura de archivos entre usuarios, eludiendo todos los ACL a nivel de aplicación. Disparadores: "media upload", "audio processing", "ffmpeg", "transcription", "file upload", "HLS", "m3u8", "file read", "LFI via media", "cross-u"

Skills relacionados

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community