CVE-2026-23837 in MyTube
Résumé
par VulDB • 14/06/2026
MyTube est un téléchargeur et lecteur auto-hébergé pour plusieurs sites de vidéos. Une vulnérabilité présente dans la version 1.7.65 et potentiellement dans des versions antérieures permet aux utilisateurs non authentifiés de contourner le contrôle d'authentification obligatoire dans roleBasedAuthMiddleware. En ne fournissant simplement pas de cookie d'authentification (rendant req.user undefined), une requête est incorrectement transmise aux gestionnaires en aval. Tous les utilisateurs exécutant MyTube avec loginEnabled: true sont impactés. Cette faille permet à un attaquant d'accéder et de modifier les paramètres de l'application via /api/settings, de changer les mots de passe administratifs et des visiteurs, et d'accéder à d'autres routes protégées qui dépendent de ce middleware spécifique. Le problème est corrigé dans la v1.7.66. Les mainteneurs de MyTube recommandent à tous les utilisateurs de mettre à niveau vers au moins la version v1.7.64 immédiatement pour sécuriser leurs instances. La correction garantit que le middleware bloque explicitement les requêtes si un utilisateur n'est pas authentifié, au lieu de faire appel à next(). Ceux qui ne peuvent pas mettre à niveau immédiatement peuvent atténuer le risque en restreignant l'accès réseau en utilisant un firewall ou un proxy inverse (comme Nginx) pour limiter l'accès aux endpoints /api/ aux adresses IP de confiance uniquement, ou, s'ils sont à l'aise pour modifier le code source, corriger manuellement en localisant roleBasedAuthMiddleware et en s'assurant que la logique renvoie par défaut une erreur (401 Unauthorized) lorsque req.user est undefined, au lieu d'appeler next().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.