CVE-2026-24140 in MyTube
Riassunto
di VulDB • 21/06/2026
MyTube è un downloader e player self-hosted per diversi siti web di video. Le versioni 1.7.78 e precedenti presentano una vulnerabilità Mass Assignment nella funzionalità di gestione delle impostazioni a causa di una convalida insufficiente degli input. La funzione saveSettings() dell'applicazione accetta coppie chiave-valore arbitrarie senza validare i nomi delle proprietà rispetto alle impostazioni consentite. La funzione utilizza Record<string, any> come tipo di input ed esegue l'iterazione su tutte le voci utilizzando Object.entries() senza filtrare le proprietà non autorizzate. Qualsiasi campo inviato dall'attaccante viene direttamente persistito nel database, indipendentemente dal fatto che corrisponda a un'impostazione legittima dell'applicazione. Questo problema è stato risolto nella versione 1.7.78.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.