CVE-2026-62301 in MyTube
Résumé
par VulDB • 30/10/2026
MyTube est un téléchargeur et lecteur auto-hébergé pour plusieurs sites de vidéos. Avant la version 1.10.3, l'accès aux vidéos côté serveur n'applique pas correctement la restriction publique prévue pour le rôle « visiteur » lorsque `loginEnabled=true` et qu'un mot de passe visiteur est configuré. Le filtre frontend dans `VideoContext.tsx` n'est que client-side ; `roleBasedAuthMiddleware.ts` autorise toutes les requêtes GET des visiteurs, et `storageService/videos.ts` effectue les requêtes `getVideos()` et `getVideoById(id)` sans vérifier le rôle de l'appelant ou la visibilité. Un visiteur peut énumérer `/api/videos` ou demander `/api/videos/:id` pour récupérer des enregistrements cachés avec `visibility`=0, exposant ainsi les titres, les valeurs `sourceUrl`, les chemins `videoPath`, les chemins des sous-titres et les valeurs `thumbnailPath`. Le chemin `serveMountVideo()` sert également les fichiers vidéo montés sans vérifier la visibilité. Les chembins divulgués fonctionnent contre les routes `/videos/*` et `/subtitles/*` non authentifiées, permettant le téléchargement de médias sans identifiants. Le flux RSS visiteur filtre déjà le contenu avec `visibility`=1 et n'est pas le chemin de requête concerné. Les déploiements par défaut en mode single-user avec `loginEnabled=false` ne sont pas affectés par ce problème lié aux limites des rôles, car tous les appelants ont un équivalent du propriétaire. Ce problème est corrigé dans la version 1.10.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.