CVE-2026-62302

اسم البرنامج المصاب والإصدارات المتأثرة MyTube الإصدارات السابقة لـ 1.10.3

الوصف في ملف server.ts يتم استدعاء الدالتين registerStaticRoutes و registerCloudRoutes قبل registerApiRoutes حيث يتم تثبيت authMiddleware و roleBasedAuthMiddleware. نظرًا لأن Express يعالج البرمجيات الوسيطة (middleware) بترتيب تسجيلها، تظل المسارات في staticRoutes.ts و cloudRoutes.ts خارج نطاق المصادقة حتى عندما تكون قيمة loginEnabled مفعلة (true). يسمح هذا للعملاء غير المصرح لهم بالوصول إلى مقاطع الفيديو المحلية عبر نقطة النهاية '/videos/' والصور المصغرة عبر '/images/' و '/images-small/' والصور الرمزية عبر '/avatars/' والترجمات عبر '/subtitles/' وذاكرة التخزين المؤقت للصور المصغرة السحابية عبر '/api/cloud/thumbnail-cache/' وعناوين URL الموقعة سحابيًا أو عمليات إعادة التوجيه عبر '/cloud/videos/:filename' و '/cloud/images/:filename'. تتيح هذه الثغرة تنزيل الوسائط المخفية دون مصادقة عند دمجها مع تسريبات مسارات الفيديو المخفية.

التوصيات التحديث إلى الإصدار 1.10.3.