CVE-2026-23837 in MyTube
Сводка
по VulDB • 14.06.2026
MyTube — это самодостаточный загрузчик и плеер для нескольких видеосайтов. Уязвимость, присутствующая в версии 1.7.65 и потенциально в более ранних версиях, позволяет неаутентифицированным пользователям обходить обязательную проверку аутентификации в middleware roleBasedAuthMiddleware. Просто не предоставив cookie аутентификации (что делает req.user неопределенным), запрос ошибочно передается дальше обработчикам. Все пользователи, запускающие MyTube с параметром loginEnabled: true, затронуты. Эта ошибка позволяет злоумышленнику получать доступ к настройкам приложения через /api/settings, изменять пароли администраторов и посетителей, а также получать доступ к другим защищенным маршрутам, которые зависят от этого конкретного middleware. Проблема исправлена в версии v1.7.66. Разработчики MyTube рекомендуют всем пользователям немедленно обновиться как минимум до версии v1.7.64 для защиты своих инстансов. Исправление гарантирует, что middleware явно блокирует запросы, если пользователь не аутентифицирован, вместо того чтобы по умолчанию вызывать next(). Те, кто не может обновиться немедленно, могут снизить риск, ограничив сетевой доступ с помощью брандмауэра или обратного прокси-сервера (например, Nginx), чтобы ограничить доступ к конечным точкам /api/ только доверенными IP-адресами, или, если они готовы редактировать исходный код, вручную исправить проблему, найдя roleBasedAuthMiddleware и убедившись, что логика по умолчанию возвращает ошибку (401 Unauthorized), когда req.user не определен, вместо вызова next().
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.