Communitygithub.com

valdiviasec/mosrai

Utilisez-le lors de tests d'applications qui acceptent des téléversements de médias et les traitent avec ffmpeg (transcription audio, traitement vidéo, conversion d'images). Si le point de terminaison de téléversement ne valide pas les bytes magiques du fichier et que ffmpeg est invoqué sans restrictions de protocole, une playlist HLS avec des URLs de segments file:// permet de lire des fichiers entre utilisateurs, contournant toutes les ACL au niveau applicatif.

Qu'est-ce que mosrai ?

Ce skill est conçu pour les tests de sécurité d'applications web qui acceptent des téléversements de fichiers multimédias (audio, vidéo, images) et les traitent avec ffmpeg. Il cible spécifiquement les vulnérabilités de type Local File Inclusion (LFI) via le traitement de médias, exploitant le manque de validation des bytes magiques des fichiers téléversés et l'absence de restrictions de protocole dans ffmpeg. En injectant une playlist HLS (fichier .m3u8) contenant des segments pointant vers file://, il est possible de lire des fichiers locaux arbitraires sur le serveur, contournant ainsi les contrôles d'accès applicatifs entre utilisateurs. Ce skill est utile pour les plateformes d'IA agent comme Claude Code et fonctionne en analysant les endpoints de téléversement, en générant des playlists HLS malveillantes, et en automatisant l'exploitation pour démontrer l'impact de la vulnérabilité. Les déclencheurs incluent 'media upload', 'audio processing', 'ffmpeg', 'transcription', 'file upload', 'HLS', 'm3u8', 'file read', et 'LFI via media'.

Compatible avec~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-fileread
Voir l'original→Voir toutes les compétences

Demander à votre IA préférée

Ouvre une nouvelle conversation avec cette compétence d'agent déjà préchargée.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentation

Que fait mosrai ?

Utilisez-le lors de tests d'applications qui acceptent des téléversements de médias et les traitent avec ffmpeg (transcription audio, traitement vidéo, conversion d'images). Si le point de terminaison de téléversement ne valide pas les bytes magiques du fichier et que ffmpeg est invoqué sans restrictions de protocole, une playlist HLS avec des URLs de segments file:// permet de lire des fichiers entre utilisateurs, contournant toutes les ACL au niveau applicatif. Déclencheurs - "media upload", "audio processing", "ffmpeg", "transcription", "file upload", "HLS", "m3u8", "file read", "LFI via media", "cross-u

Skills associés

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community