CVE-2026-62301 in MyTube
Сводка
по VulDB • 30.10.2026
MyTube — это самодостаточный загрузчик и плеер для видео с нескольких сайтов. До версии 1.10.3 бэкенд не обеспечивает ограничение роли посетителя (visitor) на публичный доступ только при `loginEnabled=true` и настроенном пароле посетителя. Фильтр во фронтенде в файле `VideoContext.tsx` работает только на стороне клиента, middleware аутентификации с учетом ролей (`roleBasedAuthMiddleware.ts`) разрешает все GET-запросы от посетителей, а сервис хранения данных (`storageService/videos.ts`) выполняет запросы `getVideos()` и `getVideoById(id)` без проверки роли вызывающего или видимости (visibility). Посетитель может перечислить записи через `/api/videos` или запросить `/api/videos/:id`, чтобы получить скрытые записи с `visibility`=0, что приводит к раскрытию заголовков, значений `sourceUrl`, путей к видео (`videoPath`), путей к субтитрам и значений путей к миниатюрам (`thumbnailPath`). Путь `serveMountVideo()` также обслуживает смонтированные видефайлы без проверки видимости. Утечка путей используется в несанкционированных маршрутах `/videos/*` и `/subtitles/*`, что позволяет скачивать медиабез учетных данных. Лента RSS для посетителей уже фильтрует контент с `visibility`=1, поэтому этот путь запросов не затронут. Развертывания по умолчанию с параметром `loginEnabled=false` (однопользовательский режим) не подвержены этой проблеме нарушения границ ролей, поскольку все вызывающие субъекты эквивалентны владельцу. Эта проблема исправлена в версии 1.10.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.