Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306

CVE-2026-62302

MyTube: Statik rotalar üzerinden kimlik doğrulamasız medya erişimi

franklioxygen MyTube

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamanın giriş ekranıyla korunan içeriklerin giriş yapmadan erişilebilir olmasına yol açabilir. Özel veya gizli tutulması amaçlanan medya dosyaları üçüncü kişilerce indirilebilir hale gelebilir. Giriş zorunluluğu kullanan kurumların bu açığı hızla gidermesi önerilir.

ÖzetTürkçe

MyTube, birden fazla video sitesinden içerik indirmeye ve oynatmaya yarayan, kendi sunucunuzda barındırılan bir uygulamadır. 1.10.3 öncesi sürümlerde, statik ve bulut rotaları kimlik doğrulama ara katmanından önce kaydedildiği için bu rotalar giriş zorunluluğu açık olsa bile doğrulama dışında kalmaktadır. Bu nedenle giriş yapmamış istemciler video, küçük resim, avatar, altyazı ve bulut önbellek dosyalarına doğrudan erişebilir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapmadan yerel videoları, küçük resimleri ve bulut depolama bağlantılarını indirebilir. Gizli olarak işaretlenmiş medya dosyalarına da erişilebildiği için bu içerikler de ifşa olabilir.

Kaynaktaki açıklama (İngilizce)

MyTube is a self-hosted downloader and player for several video websites. Prior to version 1.10.3, server.ts calls registerStaticRoutes and registerCloudRoutes before registerApiRoutes, where authMiddleware and roleBasedAuthMiddleware are mounted. Because Express processes middleware in registration order, staticRoutes.ts and cloudRoutes.ts remain outside the authentication stack even when loginEnabled=true. Unauthenticated clients can access local videos through /videos/*, thumbnails through /images/* and /images-small/*, avatars through /avatars/*, subtitles through /subtitles/*, cloud thumbnail caches through /api/cloud/thumbnail-cache/*, and cloud signed URLs or redirects through /cloud/videos/:filename and /cloud/images/:filename. The frontend login wall does not protect direct media requests. Cloud routes return 404 when cloud storage is unconfigured, but that is not an authentication rejection; protected API routes correctly return 401. Combined with hidden-video path leaks, the flaw permits unauthenticated downloads of hidden media. Default loginEnabled=false single-user deployments have no authentication boundary to bypass. This issue is fixed in version 1.10.3.

Ne yapmalı?

  1. MyTube uygulamasını 1.10.3 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme sonrasında giriş zorunluluğunun etkin olduğunu doğrulayın ve medya adreslerine giriş yapmadan erişmeyi deneyerek 401 yanıtı almadığınızı kontrol edin. Genel öneri
  3. Sürüm yükseltemiyorsanız uygulamayı geçici olarak internetten erişilemez hale getirin veya medya yollarını ters vekil sunucu üzerinden kimlik doğrulamasına tabi tutun. Genel öneri

Ek önlemler

  • Uygulamaya yönelik erişim günlüklerinde /videos/, /images/, /avatars/, /subtitles/ ve /cloud/ yollarına yapılan kimliksiz istekleri izleyin. Genel öneri
  • Gizli veya özel içerikleri barındıran örneklerde, medya dosyalarının başka bir katmanda da kimlik doğrulamasından geçmesini sağlayın. Genel öneri
  • Uygulamayı yalnızca güvenilir ağlardan erişilebilir tutun ve doğrudan internete açmaktan kaçının. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
franklioxygen MyTube < 1.10.3 1.10.3

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.