PT-2026-134177
CVE-2026-62301
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
MyTube الإصدارات السابقة لـ 1.10.3
Description
يفشل الوصول إلى الفيديو في الخلفية في فرض القيود المخصصة للعامة فقط لدور الزائر عندما يتم تعيين
loginEnabled على true وتكوين كلمة مرور للزائر. على الرغم من وجود مرشح في VideoContext.tsx إلا أنه يعمل من جانب العميل فقط. يسمح roleBasedAuthMiddleware.ts بجميع طلبات GET الخاصة بالزوار، ويقوم ملف storageService/videos.ts بتنفيذ استعلامات getVideos() و getVideoById(id) دون التحقق من دور المتصل أو حالة visibility. يتيح ذلك للزائر تعداد نقطة النهاية '/api/videos' أو طلب '/api/videos/:id' لاسترداد السجلات التي تكون فيها visibility مساوية لـ 0، مما يكشف العناوين، وقيم sourceUrl و videoPath ومسارات الترجمة وقيم thumbnailPath. بالإضافة إلى ذلك، يقوم مسار serveMountVideo() بتقديم ملفات الفيديو المثبتة دون فحوصات visibility مما يسمح بتنزيل الوسائط غير المصرح به عبر مسارات '/videos/' و '/subtitles/'. لا تتأثر عمليات النشر لمستخدم واحد التي يكون فيها loginEnabled مضبوطًا على false.Recommendations
التحديث إلى الإصدار 1.10.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾