CVE-2026-63434

اسم البرنامج المصاب والإصدارات المتأثرة MyTube الإصدارات السابقة لـ 1.10.6

الوصف عندما يتم تفعيل statisticsEnabled و statisticsTrackVisitorActivity ، يمكن للمستخدم الذي يمتلك دور زائر إرسال أحداث مفبركة إلى نقطة نهاية استيعاب الإحصائيات التي تعالجها الدالة ingestEvents() في backend/src/controllers/statisticsController.ts. يقوم المعالج بقراءة req.body.events ويقبل المتغيرات platform و sourceKind و sessionId التي يتحكم فيها العميل دون التحقق منها من جانب الخادم. يتيح ذلك للزائر نسب أحداث وهمية إلى منصات ومصادر وجلسات عشوائية، مما يؤدي إلى إفساد أعداد المشاهدات، وأعداد التنزيلات، وتصنيفات المنصات، وعزو المصادر، وتحليلات الجلسات المرئية للمسؤول.

التوصيات التحديث إلى الإصدار 1.10.6. كإجراء تخفيف مؤقت، قم بتعطيل إعدادات statisticsEnabled أو statisticsTrackVisitorActivity.