CVE-2026-62301

Nome do Software Vulnerável e Versões Afetadas MyTube versões anteriores a 1.10.3

Description O acesso ao vídeo no backend não impõe as restrições exclusivas para o público da função de visitante quando loginEnabled está definido como true e uma senha de visitante está configurada. Embora exista um filtro em VideoContext.tsx, ele é apenas do lado do cliente. O roleBasedAuthMiddleware.ts permite todas as solicitações GET de visitantes, e o arquivo storageService/videos.ts executa as consultas getVideos() e getVideoById(id) sem verificar a função do chamador ou o status de visibility. Isso permite que um visitante enumere o endpoint '/api/videos' ou solicite '/api/videos/:id' para recuperar registros onde visibility é 0, expondo títulos, sourceUrl, videoPath, caminhos de legendas e thumbnailPath. Além disso, o caminho serveMountVideo() fornece arquivos de vídeo montados sem verificações de visibility, permitindo downloads de mídia não autenticados via rotas '/videos/' e '/subtitles/'. Implantações de usuário único com loginEnabled definido como false não são afetadas.

Recommendations Atualizar para a versão 1.10.3.