CVE-2026-62301 in MyTube
الملخص
بحسب VulDB • 30/10/2026
MyTube هو أداة تحميل وتشغيل فيديو مستضافة ذاتيًا لمواقع الفيديو المتعددة. قبل الإصدار 1.10.3، لا يفرض الوصول إلى مقاطع الفيديو في الخلفية تقييد الدور المخصص للزوار (العام فقط) عندما يكون `loginEnabled=true` ومُعرَّفاً بكلمة مرور زائر. فلتر الواجهة الأمامية الموجود في `VideoContext.tsx` يعمل على جانب العميل فقط، ويسمح `roleBasedAuthMiddleware.ts` بجميع طلبات GET الخاصة بالزوار، بينما تقوم `storageService/videos.ts` بإجراء استعلامات `getVideos()` و `getVideoById(id)` دون التحقق من دور المتصل أو حالة الظهور (`visibility`). يمكن للزور الاستدلال على `/api/videos` أو طلب `/api/videos/:id` لاسترداد السجلات المخفية ذات `visibility`=0، مما يعرّض العناوين وقيم `sourceUrl` وقيم `videoPath` ومسارات الترجمة الفرعية (subtitles) وقيم `thumbnailPath`. كما أن مسار `serveMountVideo()` يخدم ملفات الفيديو المثبتة دون التحقق من حالة الظهور (`visibility`). تعمل المسارات المتسربة ضد مسارات `/videos/*` و `/subtitles/*` غير المصادق عليها، مما يتيح تنزيل الوسائط بدون بيانات اعتماد. بالفعل يقوم تغذية RSS الخاصة بالزوار بفلترة المحتوى ذي `visibility`=1 ولا تمثل مسار الاستعلام المتأثر. عمليات النشر ذات المستخدم الواحد الافتراضية التي تكون فيها `loginEnabled=false` لا تتأثر بهذه المشكلة المتعلقة بحدود الدور، لأن جميع المتصلين يعادلون المالك (owner-equivalent). تم إصلاح هذه المشكلة في الإصدار 1.10.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.