CVE-2026-62301
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
MyTube to hostowany na własnym serwerze program do pobierania i odtwarzania kilku witryn wideo. Przed wersją 1.10.3 dostęp wideo zaplecza nie wymuszał zamierzonego ograniczenia roli gościa dotyczącego tylko publicznego, gdy skonfigurowano opcję „loginEnabled=true” i hasło gościa. Filtr frontonu w pliku `VideoContext.tsx` jest tylko po stronie klienta, `roleBasedAuthMiddleware.ts` pozwala na wszystkie żądania GET odwiedzających, a `storageService/videos.ts` wykonuje zapytania `getVideos()` i `getVideoById(id)` bez sprawdzania roli dzwoniącego lub `widoczności`. Odwiedzający może wyliczyć `/api/videos` lub zażądać `/api/videos/:id`, aby pobrać ukryte rekordy `visibility`=0, ujawniając tytuły, wartości `sourceUrl`, wartości `videoPath`, ścieżki napisów i wartości `thumbnailPath`. Ścieżka `serveMountVideo()` obsługuje także zamontowane pliki wideo bez sprawdzania `widoczności`. Wyciekające ścieżki działają w przypadku nieuwierzytelnionych tras `/videos/*` i `/subtitles/*`, umożliwiając pobieranie multimediów bez poświadczeń. Kanał RSS dla gości filtruje już treść „widoczność”=1 i nie jest to ścieżka zapytania, której to dotyczy. Ten problem związany z granicą roli nie ma wpływu na domyślne wdrożenia loginEnabled=false dla jednego użytkownika, ponieważ wszystkie obiekty wywołujące są równoważne właścicielom. Ten problem został rozwiązany w wersji 1.10.3.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/franklioxygen/MyTube/commit/456d09892b599e78538ef1a795f49b91256c3ca6
- https://github.com/franklioxygen/MyTube/commit/7cc7c6a7d297ccbd8bd2c76755129381b96f8456
- https://github.com/franklioxygen/MyTube/commit/905cecc010f320ab4e575eb3054179e9616a0b39
- https://github.com/franklioxygen/MyTube/commit/f9ae048cc37c98a3576115d8841f8e96bade5c76
- https://github.com/franklioxygen/MyTube/security/advisories/GHSA-hcm6-w6x8-6jhr
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org