CVE-2026-57946
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w Invidious przed wersją 2.20260626.0 umożliwia nieuwierzytelnionym atakującym odczytanie zawartości prywatnych playlist poprzez dostęp do punktu końcowego RSS feed playlist. Atakujący może podać identyfikator playlisty, aby uzyskać pełną zawartość playlisty, adres e-mail właściciela oraz powiązane wpisy wideo bez żadnego uwierzytelnienia.
Ocena ryzyka
Ryzyko polega na ujawnieniu prywatnych danych użytkowników, w tym adresów e-mail oraz szczegółów playlist, co może prowadzić do naruszenia prywatności i potencjalnych ataków socjotechnicznych.
Rekomendacja
Zaleca się natychmiastową aktualizację Invidious do wersji 2.20260626.0 lub nowszej, która usuwa tę podatność. Należy również sprawdzić, czy nie doszło do nieautoryzowanego dostępu do playlist.
Oryginalny opis (angielski, źródło NVD)
Invidious before version 2.20260626.0 contains a broken access control vulnerability that allows unauthenticated attackers to retrieve private playlist contents by accessing the RSS feed playlist endpoint without authentication. Attackers can supply a playlist ID to the feed endpoint to obtain the full playlist contents, owner email address, and associated video entries without any authentication.