CVE-2026-62302 in MyTube
要約
〜によって VulDB • 2026年10月30日
MyTubeは、複数の動画サイト向けのセルフホスト型ダウンローダーおよびプレーヤーです。バージョン1.10.3以前では、`server.ts`が認証ミドルウェア（`authMiddleware` および `roleBasedAuthMiddleware`）をマウントする前に `registerStaticRoutes` と `registerCloudRoutes` を呼び出します。Expressはミドルウェアの登録順に処理を行うため、`loginEnabled=true` の場合でも、`staticRoutes.ts` と `cloudRoutes.ts` は認証スタックの外側に残ります。これにより、未認証クライアントが `/videos/*` 経由でローカル動画へ、`/images/*` および `/images-small/*` 経由でサムネイルへ、`/avatars/*` 経由でアバター画像へ、`/subtitles/*` 経由で字幕ファイルへ、`/api/cloud/thumbnail-cache/*` 経由でクラウドのサムネイルキャッシュへ、そして `/cloud/videos/:filename` および `/cloud/images/:filename` 経由でクラウド署名付きURLまたはリダイレクトにアクセスできます。フロントエンドのログインウォールは、メディアへの直接リクエストを保護しません。クラウドストレージが未設定の場合、クラウドルートは404を返しますが、これは認証拒否ではなく、保護されたAPIルートは正しく401を返します。隠し動画パスの漏洩と相まって、この脆弱性により未認証での隠しメディアのダウンロードが可能になります。デフォルトで `loginEnabled=false` のシングルユーザー環境では、回避するべき認証境界が存在しません。本問題はバージョン1.10.3で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.