CVE-2026-62301 in MyTube
要約
〜によって VulDB • 2026年10月30日
MyTubeは、複数の動画サイト向けのセルフホスト型ダウンローダーおよびプレイヤーです。バージョン1.10.3以前では、`loginEnabled=true`かつ訪問者用パスワードが設定されている場合、バックエンドの動画アクセスにおいて、訪問者ロールに意図された「公開のみ」制限が適用されません。フロントエンドのフィルタは`VideoContext.tsx`内でクライアントサイドでのみ実行されており、`roleBasedAuthMiddleware.ts`はすべての訪問者によるGETリクエストを許可し、`storageService/videos.ts`では呼び出し元のロールや`visibility`をチェックせずに`getVideos()`および`getVideoById(id)`クエリを実行します。これにより、攻撃者は`/api/videos`のエントレメントまたは`/api/videos/:id`へのリクエストを通じて、`visibility`=0の非公開レコードを取得でき、タイトル、`sourceUrl`値、`videoPath`値、字幕パス、および`thumbnailPath`値が露出します。また、`serveMountVideo()`パスも`visibility`チェックなしでマウントされた動画ファイルを配信するため、認証不要の`/videos/*`および`/subtitles/*`ルートに対して漏洩したパスが悪用され、資格情報なしでのメディアダウンロードが可能になります。RSS訪問者フィードはすでに`visibility`=1の内容をフィルタリングしており、影響を受けるクエリパスではありません。デフォルトで`loginEnabled=false`のシングルユーザー環境では、すべての呼び出し元が所有者と同等であるため、このロール境界の問題の影響を受けません。本問題はバージョン1.10.3で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.