CVE-2026-23837 in MyTube
الملخص
بحسب VulDB • 11/05/2026
MyTube هو أداة تحميل وتشغيل فيديو مستضافة ذاتيًا لمواقع فيديو متعددة. تسمح ثغرة موجودة في الإصدار 1.7.65 والإصدارات الأقدم المحتملة للمستخدمين غير المصادق عليهم بتجاوز فحص المصادقة الإلزامي في `roleBasedAuthMiddleware`. ببساطة من خلال عدم توفير ملف تعريف ارتباط للمصادقة (مما يجعل `req.user` غير معرف)، يتم تمرير الطلب بشكل غير صحيح إلى المعالجات اللاحقة. جميع المستخدمين الذين يشغلون MyTube مع إعداد `loginEnabled: true` يتأثرون. تتيح هذه الثغرة لمهاجم الوصول إلى إعدادات التطبيق وتعديلها عبر `/api/settings`، وتغيير كلمات مرور المسؤولين والزوار، والوصول إلى مسارات محمية أخرى تعتمد على هذا الوسيط المحدد. تم إصلاح المشكلة في الإصدار v1.7.66. يوصي مشرفو MyTube جميع المستخدمين بالترقية إلى الإصدار v1.7.64 على الأقل فورًا لتأمين مثيلاتهم. يضمن الإصلاح أن يقوم الوسيط بحظر الطلبات صراحةً إذا لم يكن المستخدم موثقًا، بدلاً من الافتراض إلى `next()`. أولئك الذين لا يمكنهم الترقية فورًا يمكنهم تخفيف المخاطر عن طريق تقييد الوصول عبر الشبكة باستخدام جدار حماية أو وكيل عكسي (مثل Nginx) لتقييد الوصول إلى نقاط النهاية `/api/` للعناوين IP الموثوقة فقط، أو إذا كانوا مرتاحين لتعديل شفرة المصدر، يمكنهم التصحيح يدويًا عن طريق تحديد `roleBasedAuthMiddleware` وضمان أن المنطق يعود إلى خطأ (401 غير مصرح) عندما يكون `req.user` غير معرف، بدلاً من استدعاء `next()`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.