CVE-2026-63433
ŚrednieCVSS 6.8Streszczenie
MyTube przed wersją 1.10.6 przyznaje wyłączenie ochrony CSRF na podstawie samej obecności nagłówka x-api-key lub wartości Authorization: ApiKey, bez weryfikacji klucza API. Przy permisywnej konfiguracji CORS_ALLOWED_ORIGINS nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do wysłania żądania zmieniającego stan, które zostanie uwierzytelnione ciasteczkiem sesji przy pominiętej walidacji CSRF.
Ocena ryzyka
Atakujący może wykonać destrukcyjne operacje administracyjne, takie jak usuwanie mediów, wywoływanie pobrań czy zmiana subskrypcji, w imieniu zalogowanego administratora.
Rekomendacja
Zaktualizuj MyTube do wersji 1.10.6 lub nowszej oraz ogranicz konfigurację CORS_ALLOWED_ORIGINS do zaufanych źródeł.
Inne podatności w MyTube
Zobacz wszystkie- CVE-2026-63434Średnie
MyTube przed wersją 1.10.6, przy włączonych statystykach i śledzeniu aktywności odwiedzających, pozwala użytkownikowi z rolą gościa przesyłać zdarzenia do punktu końcowego statystyk. Serwer akceptuje kontrolowane przez klienta pola platform, sourceKind i sessionId bez walidacji, co pozwala fałszować liczniki wyświetleń, pobrań i analitykę sesji widoczną dla administratora.
- CVE-2026-62302Wysokie
MyTube przed wersją 1.10.3 rejestruje trasy statyczne i chmurowe przed API, przez co pozostają one poza stosem uwierzytelniania nawet przy loginEnabled=true. Nieuwierzytelnieni klienci mogą uzyskać dostęp do filmów, miniatur, awatarów, napisów i podpisanych adresów URL w chmurze.
- CVE-2026-62301Wysokie
W MyTube przed wersją 1.10.3 backend nie egzekwuje ograniczenia roli gościa do publicznych treści, gdy włączone jest logowanie i skonfigurowane hasło gościa. Filtr w interfejsie działa tylko po stronie klienta, a middleware i warstwa dostępu do plików nie sprawdzają roli ani widoczności, więc gość może wyliczyć i pobrać ukryte nagrania wraz ze ścieżkami plików.
Oryginalny opis (angielski, źródło NVD)
MyTube is a self-hosted downloader and player for several video websites. Prior to 1.10.6, shouldSkipCsrfProtection() in backend/src/middleware/csrfConfig.ts delegates to isApiKeyRequest(), which grants a CSRF exemption based only on the presence of an x-api-key header or an Authorization: ApiKey value rather than successful API-key validation. With a permissive CORS_ALLOWED_ORIGINS configuration, an unauthenticated attacker can lure an authenticated administrator to attacker-controlled content that sends a cross-origin state-changing request with an arbitrary API-key value. The victim's session cookie authenticates the request while CSRF token validation is skipped, allowing destructive or other administrator API operations such as deleting media, triggering downloads, or changing subscriptions. This issue is fixed in version 1.10.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS