CVE-2026-62302 in MyTube
요약
\~에 의해 VulDB • 2026. 10. 30.
MyTube는 여러 비디오 웹사이트를 위한 자체 호스팅 다운로드 및 플레이어입니다. 버전 1.10.3 이전에서는 `server.ts`가 인증 미들웨어(`authMiddleware`)와 역할 기반 인증 미들웨어(`roleBasedAuthMiddleware`)가 마운트되기 전에 `registerStaticRoutes` 및 `registerCloudRoutes`를 호출합니다. Express는 등록 순서대로 미들웨어를 처리하므로, `loginEnabled=true`인 경우에도 `staticRoutes.ts` 및 `cloudRoutes.ts`는 인증 스택 외부에 남아 있습니다. 비인증 클라이언트는 `/videos/*`(로컬 비디오), `/images/*` 및 `/images-small/*`(썸네일), `/avatars/*`(아바타), `/subtitles/*`(자막), `/api/cloud/thumbnail-cache/*`(클라우드 썸네일 캐시)를 통해 클라우드 서명 URL 또는 리디렉션을 위한 `/cloud/videos/:filename` 및 `/cloud/images/:filename`에 접근할 수 있습니다. 프론트엔드 로그인 벽은 직접적인 미디어 요청을 보호하지 않습니다. 클라우드 스토리지 미구성 시 클라우드 라우트는 404를 반환하지만, 이는 인증 거부가 아니며 보호된 API 경로는 올바르게 401을 반환합니다. 숨겨진 비디오 경로 누출과 결합되어 이 결함으로 인해 비인증 상태에서도 숨겨진 미디어의 다운로드가 가능합니다. 기본값 `loginEnabled=false`인 단일 사용자 배포에서는 우회할 수 있는 인증 경계가 없습니다. 이 문제는 버전 1.10.3에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.