CVE-2026-62301 in MyTube
摘要
由 VulDB • 2026-10-30
MyTube是一个自托管的下载器和播放器，支持多个视频网站。在版本1.10.3之前，当`loginEnabled=true`且配置了访客密码时，后端视频访问未强制执行访客角色的预期“仅限公开”限制。前端过滤器位于`VideoContext.tsx`中，仅存在于客户端；`roleBasedAuthMiddleware.ts`允许所有访客GET请求；而`storageService/videos.ts`在执行`getVideos()`和`getVideoById(id)`查询时，未检查调用者的角色或`visibility`（可见性）。攻击者可以通过枚举`/api/videos`或请求`/api/videos/:id`来检索隐藏的记录（即`visibility`=0），从而暴露标题、`sourceUrl`值、`videoPath`值、字幕路径和缩略图路径。此外，`serveMountVideo()`路径在未进行`visibility`检查的情况下提供挂载的视频文件。泄露的路径可用于未经身份验证的`/videos/*`和`/subtitles/*`路由，从而允许在没有凭据的情况下下载媒体内容。RSS访客订阅源已过滤掉`visibility`=1的内容，因此不受此查询路径影响。默认配置为`loginEnabled=false`的单用户部署不受此角色边界问题的影响，因为所有调用者都等同于所有者。该问题已在版本1.10.3中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.