Communitygithub.com

valdiviasec/mosrai

Utilize ao testar apps que aceitam uploads de mídia e os processam com ffmpeg (transcrição de áudio, processamento de vídeo, conversão de imagens). Se o endpoint de upload não validar os bytes mágicos do arquivo e o ffmpeg for invocado sem restrições de protocolo, uma playlist HLS com URLs de segmento file:// permite leitura de arquivos entre usuários, ignorando todos os ACLs de nível de aplicação.

O que é mosrai?

Esta skill é usada para testar aplicativos que aceitam uploads de mídia e os processam com ffmpeg, como transcrição de áudio, processamento de vídeo ou conversão de imagens. Se o endpoint de upload não validar os bytes mágicos do arquivo (assinatura de arquivo) e o ffmpeg for invocado sem restrições de protocolo, a habilidade cria uma playlist HLS com URLs de segmento contendo 'file://'. Isso permite ler arquivos entre usuários, ignorando listas de controle de acesso (ACLs) de nível de aplicação. A skill funciona gerando um arquivo M3U8 malicioso que faz referência a caminhos de arquivo locais, explorando o processamento de mídia no lado do servidor para obter leitura arbitrária de arquivos.

Funciona com~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-fileread
Ver original→Navegar por todas as habilidades

Perguntar na sua IA favorita

Abre um novo chat com esta habilidade de agente já pré-carregada.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentação

O que mosrai faz?

Utilize ao testar apps que aceitam uploads de mídia e os processam com ffmpeg (transcrição de áudio, processamento de vídeo, conversão de imagens). Se o endpoint de upload não validar os bytes mágicos do arquivo e o ffmpeg for invocado sem restrições de protocolo, uma playlist HLS com URLs de segmento file:// permite leitura de arquivos entre usuários, ignorando todos os ACLs de nível de aplicação. Gatilhos - "media upload", "audio processing", "ffmpeg", "transcription", "file upload", "HLS", "m3u8", "file read", "LFI via media", "cross-u

Habilidades Relacionadas

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community