CVE-2026-62302 in MyTube
Riassunto
di VulDB • 30/10/2026
MyTube è un downloader e player self-hosted per diversi siti di video. Prima della versione 1.10.3, `server.ts` chiama `registerStaticRoutes` e `registerCloudRoutes` prima di `registerApiRoutes`, dove vengono montati `authMiddleware` e `roleBasedAuthMiddleware`. Poiché Express elabora i middleware in ordine di registrazione, `staticRoutes.ts` e `cloudRoutes.ts` rimangono al di fuori dello stack di autenticazione anche quando `loginEnabled=true`. I client non autenticati possono accedere ai video locali tramite `/videos/*`, alle miniature attraverso `/images/*` e `/images-small/*`, agli avatar tramite `/avatars/*`, ai sottotitoli attraverso `/subtitles/*`, alle cache delle miniature cloud tramite `/api/cloud/thumbnail-cache/*` e agli URL firmati o redirect cloud attraverso `/cloud/videos/:filename` e `/cloud/images/:filename`. Il muro di accesso del frontend non protegge le richieste dirette dei media. Le rotte cloud restituiscono 404 quando l'archiviazione cloud non è configurata, ma ciò non costituisce un rifiuto dell'autenticazione; le rotte API protette restituiscono correttamente 401. Combinato con la fuga di percorsi video nascosti, il difetto consente download non autenticati di media nascosti. Le distribuzioni single-user predefinite con `loginEnabled=false` non hanno un confine di autenticazione da bypassare. Questo problema è risolto nella versione 1.10.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.