유튜브 TV 앱 광고 건너뛰는 iSponsorBlockTV, DIAL 탐색 SSRF(CVE-2026-77597) 패치
- iSponsorBlockTV는 유튜브 TV 클라이언트 전반에서 SponsorBlock 데이터를 이용해 스폰서 구간을 건너뛰게 해주는 클라이언트임. 저장소는 커밋 664개, 브랜치 23개, 태그 30개 규모임
- 2026년 8월 21일 커밋에서 DIAL 탐색의 블라인드 SSRF(CVE-2026-77597, GHSA-56v3-jrq2-4q9m)를 수정함. SSDP LOCATION URL과 기기 설명의 application-url IP가 응답을 보낸 IP와 같은지 검증하고, 탐색 요청의 리다이렉트를 꺼서 우회를 막음
- 수정 전에는 로컬 네트워크 공격자가 내부 서비스를 가리키는 SSDP 응답을 심어 iSponsorBlockTV가 공격자가 고른 URL을 가져오게 만들 수 있었음
- Dockerfile의 파이썬 참조는 3.11에서 3.13으로 올라갔고, pre-commit.ci 스케줄은 월간으로 바뀜
Hacker News opinions
팟캐스트 쪽에 같은 걸 해주는 프로그램 없나? qwen38로 다운로더를 만들어서 키워드나 sponsorblock-ml, neuralblock 같은 걸로 광고를 걸러내는데, 역시 크라우드소싱이 답인 것 같더라.
팟캐스트는 크라우드소싱이 안 먹혀. 대부분 제공자가 접속 위치에 따라 광고를 다르게 끼워 넣어서 길이가 제각각이니까. 나는 whisper API로 받아쓰고 Jev 호환 API로 광고 구간을 분류하는 작은 Go 앱을 만들었는데 에피소드당 $0.01 정도 든다.
나도 로컬 Parakeet에 Gemini 붙여서 직접 만들었는데, 같은 방식으로 활발히 개발되는 프로젝트가 있다. podly_pure_podcasts임.
컴퓨터나 VPN으로 저소득 국가에서 받으면 동적 광고가 거의 다 사라진다. 탄자니아에서 몇 년 살았는데 그때는 대부분 팟캐스트가 광고를 안 틀었음.
재밌는 꼼수긴 한데 지연이 그렇게 낮을 줄은 몰랐다. 요즘 광고가 1분씩 되니까 해볼 만하지. TV에 APK를 올릴 수 있으면 smarttube가 훨씬 깔끔한데, 사람들이 한동안 공식 앱인 줄 모를 정도로 잘 만들어졌음.
애플TV 유튜브 앱에서 몇 달째 쓰는데 아주 잘 된다. 설정도 거의 필요 없고 이제 없으면 못 살겠더라.
근데 지금 뭐가 재생 중인지는 어떻게 아나? 폰처럼 페어링하고 API를 듣는 건가?
유튜브 앱에 리모컨이나 크롬캐스트처럼 연결하는 방식임. 유튜브 API로 앱이랑 통신한다.