PT-2026-136366
CVE-2026-63433
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
MyTube الإصدارات السابقة لـ 1.10.6
الوصف
توجد مشكلة حيث تقوم الدالة
shouldSkipCsrfProtection() في backend/src/middleware/csrfConfig.ts بالتفويض إلى isApiKeyRequest()، والتي تمنح إعفاءً من تزوير الطلبات عبر المواقع (CSRF) بناءً فقط على وجود رأس x-api-key أو قيمة Authorization: ApiKey بدلاً من التحقق الفعلي من صحة مفتاح API. عند استخدام تكوين CORS ALLOWED ORIGINS متساهل، يمكن لمهاجم غير مصرح له استدراج مسؤول مصرح له إلى محتوى يتحكم فيه المهاجم يرسل طلب تغيير حالة عبر الأصل باستخدام قيمة مفتاح API عشوائية. يقوم ملف تعريف ارتباط جلسة الضحية بمصادقة الطلب بينما يتم تخطي التحقق من رمز CSRF، مما يسمح بعمليات API إدارية تدميرية أو غيرها مثل حذف الوسائط أو بدء التنزيلات أو تغيير الاشتراكات.التوصيات
التحديث إلى الإصدار 1.10.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾