CVE-2026-62301 in MyTube
Zusammenfassung
von VulDB • 30.10.2026
MyTube ist ein selbst gehosteter Downloader und Player für verschiedene Video-Websites. Vor Version 1.10.3 wird die beabsichtigte Einschränkung auf nur öffentlichen Zugriff der Besucherrolle beim Backend-Zugriff auf Videos nicht durchgesetzt, wenn `loginEnabled=true` ist und ein Besucherpasswort konfiguriert wurde. Der Frontend-Filter in `VideoContext.tsx` ist nur clientseitig vorhanden; das Middleware-Skript `roleBasedAuthMiddleware.ts` erlaubt alle GET-Anfragen von Besuchern, und der Dienst `storageService/videos.ts` führt Abfragen für `getVideos()` und `getVideoById(id)` aus, ohne die Rolle des Aufrufers oder die Sichtbarkeit (`visibility`) zu überprüfen. Ein Besucher kann `/api/videos` auflisten oder `/api/videos/:id` anfordern, um versteckte Datensätze mit `visibility`=0 abzurufen, wodurch Titel, Werte von `sourceUrl`, Werte von `videoPath`, Untertitelpfade und Werte von `thumbnailPath` offengelegt werden. Der Pfad `serveMountVideo()` stellt auch gemountete Videodateien ohne Sichtbarkeitsprüfungen bereit. Die geleakten Pfade wirken sich auf die nicht authentifizierten Routen `/videos/*` und `/subtitles/*` aus, was das Herunterladen von Medien ohne Anmeldeinformationen ermöglicht. Der RSS-Feed für Besucher filtert bereits Inhalte mit `visibility`=1 heraus und ist daher der betroffene Abfragepfad nicht. Standardmäßige Single-User-Bereitstellungen mit `loginEnabled=false` sind von diesem rollenbezogenen Problem nicht betroffen, da alle Aufrufer dem Eigentümer gleichgestellt sind. Dieses Problem wurde in Version 1.10.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.