Podatności MyTube

MyTube przed wersją 1.10.6, przy włączonych statystykach i śledzeniu aktywności odwiedzających, pozwala użytkownikowi z rolą gościa przesyłać zdarzenia do punktu końcowego statystyk. Serwer akceptuje kontrolowane przez klienta pola platform, sourceKind i sessionId bez walidacji, co pozwala fałszować liczniki wyświetleń, pobrań i analitykę sesji widoczną dla administratora.

MyTube przed wersją 1.10.6 przyznaje wyłączenie ochrony CSRF na podstawie samej obecności nagłówka x-api-key lub wartości Authorization: ApiKey, bez weryfikacji klucza API. Przy permisywnej konfiguracji CORS_ALLOWED_ORIGINS nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do wysłania żądania zmieniającego stan, które zostanie uwierzytelnione ciasteczkiem sesji przy pominiętej walidacji CSRF.

MyTube przed wersją 1.10.3 rejestruje trasy statyczne i chmurowe przed API, przez co pozostają one poza stosem uwierzytelniania nawet przy loginEnabled=true. Nieuwierzytelnieni klienci mogą uzyskać dostęp do filmów, miniatur, awatarów, napisów i podpisanych adresów URL w chmurze.

W MyTube przed wersją 1.10.3 backend nie egzekwuje ograniczenia roli gościa do publicznych treści, gdy włączone jest logowanie i skonfigurowane hasło gościa. Filtr w interfejsie działa tylko po stronie klienta, a middleware i warstwa dostępu do plików nie sprawdzają roli ani widoczności, więc gość może wyliczyć i pobrać ukryte nagrania wraz ze ścieżkami plików.