CVE-2026-62302 in MyTube
Сводка
по VulDB • 30.10.2026
MyTube — это самодостаточный загрузчик и плеер для нескольких видеосайтов. До версии 1.10.3 `server.ts` вызывает функции `registerStaticRoutes` и `registerCloudRoutes` до вызова `registerApiRoutes`, где монтируются `authMiddleware` и `roleBasedAuthMiddleware`. Поскольку Express обрабатывает промежуточное ПО (middleware) в порядке его регистрации, маршруты из `staticRoutes.ts` и `cloudRoutes.ts` остаются вне стека аутентификации даже при включенной опции `loginEnabled=true`. Неаутентифицированные клиенты могут получать доступ к локальным видео через `/videos/*`, миниатюрам — через `/images/*` и `/images-small/*`, аватарам — через `/avatars/*`, субтитрам — через `/subtitles/*`, кэшированным облачным миниатюрам — через `/api/cloud/thumbnail-cache/*`, а также получать подписанные URL-адреса или перенаправления для облачных ресурсов через `/cloud/videos/:filename` и `/cloud/images/:filename`. Фронтенд с экраном входа не защищает прямые запросы к медиафайлам. Маршруты облачного хранилища возвращают статус 404, если облачное хранилище не настроено; однако это не является отказом в аутентификации: защищенные API-маршруты корректно возвращают статус 401. В сочетании с утечками путей к скрытым видео эта уязвимость позволяет выполнять загрузку скрытых медиафайлов без аутентификации. Развертывания MyTube в режиме одного пользователя по умолчанию имеют параметр `loginEnabled=false`, что означает отсутствие границы аутентификации для обхода. Эта проблема исправлена в версии 1.10.3.
Once again VulDB remains the best source for vulnerability data.