CVE-2026-63434
ŚrednieCVSS 4.3Streszczenie
MyTube przed wersją 1.10.6, przy włączonych statystykach i śledzeniu aktywności odwiedzających, pozwala użytkownikowi z rolą gościa przesyłać zdarzenia do punktu końcowego statystyk. Serwer akceptuje kontrolowane przez klienta pola platform, sourceKind i sessionId bez walidacji, co pozwala fałszować liczniki wyświetleń, pobrań i analitykę sesji widoczną dla administratora.
Ocena ryzyka
Atakujący może zafałszować dane analityczne i statystyki widoczne dla administratora, co prowadzi do błędnych decyzji i zniekształcenia raportów.
Rekomendacja
Zaktualizuj MyTube do wersji 1.10.6 lub nowszej.
Inne podatności w MyTube
Zobacz wszystkie- CVE-2026-63433Średnie
MyTube przed wersją 1.10.6 przyznaje wyłączenie ochrony CSRF na podstawie samej obecności nagłówka x-api-key lub wartości Authorization: ApiKey, bez weryfikacji klucza API. Przy permisywnej konfiguracji CORS_ALLOWED_ORIGINS nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do wysłania żądania zmieniającego stan, które zostanie uwierzytelnione ciasteczkiem sesji przy pominiętej walidacji CSRF.
- CVE-2026-62302Wysokie
MyTube przed wersją 1.10.3 rejestruje trasy statyczne i chmurowe przed API, przez co pozostają one poza stosem uwierzytelniania nawet przy loginEnabled=true. Nieuwierzytelnieni klienci mogą uzyskać dostęp do filmów, miniatur, awatarów, napisów i podpisanych adresów URL w chmurze.
- CVE-2026-62301Wysokie
W MyTube przed wersją 1.10.3 backend nie egzekwuje ograniczenia roli gościa do publicznych treści, gdy włączone jest logowanie i skonfigurowane hasło gościa. Filtr w interfejsie działa tylko po stronie klienta, a middleware i warstwa dostępu do plików nie sprawdzają roli ani widoczności, więc gość może wyliczyć i pobrać ukryte nagrania wraz ze ścieżkami plików.
Oryginalny opis (angielski, źródło NVD)
MyTube is a self-hosted downloader and player for several video websites. Prior to 1.10.6, when statisticsEnabled and statisticsTrackVisitorActivity are enabled, a visitor-role user can submit events to the statistics ingest endpoint handled by ingestEvents in backend/src/controllers/statisticsController.ts. The handler reads req.body.events and accepts the client-controlled platform, sourceKind, and sessionId fields without server-side derivation or validation before passing the events to the analytics persistence path. A visitor can therefore attribute fabricated events to arbitrary platforms, sources, and sessions, corrupting administrator-visible view counts, download counts, platform breakdowns, source attribution, and session analytics. The server-derived actorRole and surface fields are not forgeable through this issue. This issue is fixed in version 1.10.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS