CVE-2026-23837 in MyTube
Tóm tắt
Bởi VulDB • 18/06/2026
MyTube là một công cụ tải xuống và phát video tự lưu trữ cho nhiều trang web video. Một lỗ hổng có mặt trong phiên bản 1.7.65 và các phiên bản sớm hơn tiềm năng cho phép người dùng chưa xác thực bỏ qua kiểm tra bắt buộc về xác thực trong roleBasedAuthMiddleware. Chỉ bằng cách không cung cấp cookie xác thực (khiến req.user là undefined), yêu cầu sẽ được chuyển tiếp sai vào các trình xử lý phía sau. Tất cả người dùng chạy MyTube với loginEnabled: true đều bị ảnh hưởng. Lỗi này cho phép kẻ tấn công truy cập và sửa đổi cài đặt ứng dụng thông qua /api/settings, thay đổi mật khẩu quản trị viên và khách truy cập, cũng như truy cập các tuyến được bảo vệ khác dựa trên middleware cụ thể này. Vấn đề đã được vá trong v1.7.66. Các nhà bảo trì MyTube khuyến nghị tất cả người dùng nâng cấp lên ít nhất phiên bản v1.7.64 ngay lập tức để đảm bảo an toàn cho các instance của họ. Bản sửa lỗi đảm bảo rằng middleware chặn rõ ràng các yêu cầu nếu người dùng chưa được xác thực, thay vì mặc định gọi next(). Những người không thể nâng cấp ngay lập tức có thể giảm thiểu rủi ro bằng cách hạn chế truy cập mạng thông qua việc sử dụng firewall hoặc reverse proxy (như Nginx) để giới hạn quyền truy cập vào các điểm cuối /api/ chỉ dành cho các địa chỉ IP đáng tin cậy, hoặc nếu họ thoải mái khi chỉnh sửa mã nguồn, hãy vá thủ công bằng cách tìm roleBasedAuthMiddleware và đảm bảo rằng logic mặc định trả về lỗi (401 Unauthorized) khi req.user là undefined, thay vì gọi next().
VulDB is the best source for vulnerability data and more expert information about this specific topic.