Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-62301

MyTube'da ziyaretçi rolünün gizli video meta verilerine ve içeriğine erişebilmesi (yetki kontrolü eksikliği)

franklioxygen MyTube

Yüksek 7,1 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamaya giriş yapmış herkesin özel olarak gizlenmiş içeriklere ulaşabilmesine yol açar ve içerik sahipliği ile gizlilik politikalarını zedeler. Yalnızca ziyaretçi girişi etkin olan kurulumlar etkilenir, ancak etkilenen sistemlerde güncelleme ivedi olarak planlanmalıdır.

ÖzetTürkçe

MyTube, çeşitli video sitelerinden indirme yapmaya ve bunları oynatmaya yarayan, kendi sunucunda barındırılan bir uygulamadır. 1.10.3 öncesi sürümlerde, loginEnabled=true ayarı etkinken ve ziyaretçi parolası tanımlıyken arka uç, ziyaretçi rolünün yalnızca herkese açık içeriğe erişme kısıtını uygulamamaktadır. Ön yüzdeki filtre yalnızca istemci tarafında çalıştığı için gizli (visibility=0) kayıtlar API üzerinden erişilebilir durumdadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik bilgisi olmadan gizli videoların başlıklarını, kaynak adreslerini, dosya yollarını ve küçük resim yollarını görebilir; bu yollar üzerinden medya dosyalarını ve altyazıları indirebilir.

Kaynaktaki açıklama (İngilizce)

MyTube is a self-hosted downloader and player for several video websites. Prior to version 1.10.3, backend video access does not enforce the visitor role's intended public-only restriction when loginEnabled=true and a visitor password is configured. The frontend filter in VideoContext.tsx is only client-side, roleBasedAuthMiddleware.ts allows all visitor GET requests, and storageService/videos.ts performs getVideos() and getVideoById(id) queries without checking the caller's role or visibility. A visitor can enumerate /api/videos or request /api/videos/:id to retrieve hidden visibility=0 records, exposing titles, sourceUrl values, videoPath values, subtitle paths and thumbnailPath values. The serveMountVideo() path also serves mounted video files without visibility checks. Leaked paths work against unauthenticated /videos/* and /subtitles/* routes, allowing media downloads without credentials. The RSS visitor feed already filters visibility=1 content and is not the affected query path. Default loginEnabled=false single-user deployments are unaffected by this role-boundary issue because all callers are owner-equivalent. This issue is fixed in version 1.10.3.

Ne yapmalı?

  1. MyTube'u 1.10.3 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde, ziyaretçi girişinin etkin olup olmadığını kontrol edin; gerekmiyorsa geçici olarak ziyaretçi erişimini kapatın. Genel öneri
  3. Gizli olarak işaretlenmiş videoların dosyalarının ve altyazılarının sunucudan herkese açık olarak indirilip indirilemediğini test edin. Genel öneri

Ek önlemler

  • Ziyaretçi parolasını güçlü ve benzersiz tutun, düzenli olarak değiştirin. Genel öneri
  • Uygulamanın erişim günlüklerini, özellikle /api/videos ve medya yollarına yapılan olağandışı istekler için izleyin. Genel öneri
  • Uygulamayı doğrudan internete açmak yerine, erişimi bir VPN veya kimlik doğrulamalı ters vekil ile sınırlandırmayı değerlendirin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
franklioxygen MyTube < 1.10.3 1.10.3

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.