CVE-2026-58447

ŚrednieCVSS 6.5

Opublikowano: 30/06/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Podatność w Invidious do wersji 2.20260626.0 (załatana w commit 77ad416) pozwala uwierzytelnionym atakującym usuwać filmy z playlist innych użytkowników. Wykorzystuje ona brak walidacji własności przy usuwaniu filmów z playlisty poprzez endpoint remove_video.

Ocena ryzyka

Atakujący może trwale usunąć filmy z playlist innych użytkowników, co prowadzi do utraty danych i zakłócenia działania serwisu. Podatność jest łatwa do wykorzystania, ponieważ atakujący może uzyskać indeksy filmów z publicznego API playlist.

Rekomendacja

Należy natychmiast zaktualizować Invidious do wersji zawierającej commit 77ad416 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do endpointu playlisty tylko dla zaufanych użytkowników.

Inne podatności w Invidious

CVE-2026-57946Niskie
Podatność w Invidious przed wersją 2.20260626.0 umożliwia nieuwierzytelnionym atakującym odczytanie zawartości prywatnych playlist poprzez dostęp do punktu końcowego RSS feed playlist. Atakujący może podać identyfikator playlisty, aby uzyskać pełną zawartość playlisty, adres e-mail właściciela oraz powiązane wpisy wideo bez żadnego uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

Invidious through 2.20260626.0, fixed in commit 77ad416, contains a broken object level authorization vulnerability that allows authenticated attackers to delete videos from other users' playlists by supplying an arbitrary global video index in the remove_video action of the playlist endpoint. Attackers can obtain per-video index values from the public playlist JSON API and submit them to the playlist video deletion endpoint without ownership validation, permanently removing videos from playlists they do not own.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS