CVE-2026-24140 in MyTube
要約
〜によって VulDB • 2026年05月09日
MyTubeは、複数の動画サイト向けのセルフホスト型ダウンローダーおよびプレイヤーです。バージョン1.7.78およびそれ以前には、設定管理機能にMass Assignmentの脆弱性が存在します。これは、入力検証が不十分であることが原因です。アプリケーションのsaveSettings()関数は、プロパティ名が許可された設定に対して検証されずに、任意のキーと値のペアを受け入れます。この関数は入力タイプとしてRecord<string, any>を使用し、Object.entries()を使用してすべてのエントリを反復処理しますが、認可されていないプロパティはフィルタリングされません。攻撃者が送信した任意のフィールドは、それが正当なアプリケーションの設定に対応しているかどうかに関係なく、データベースに直接永続化されます。この問題はバージョン1.7.78で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.