CVE-2026-62302

Nome do Software Vulnerável e Versões Afetadas MyTube versões anteriores a 1.10.3

Descrição No arquivo server.ts, as funções registerStaticRoutes e registerCloudRoutes são chamadas antes de registerApiRoutes, onde authMiddleware e roleBasedAuthMiddleware são montados. Como o Express processa o middleware na ordem de registro, as rotas em staticRoutes.ts e cloudRoutes.ts permanecem fora da pilha de autenticação, mesmo quando loginEnabled está definido como true. Isso permite que clientes não autenticados acessem vídeos locais através do endpoint '/videos/', miniaturas via '/images/' e '/images-small/', avatares via '/avatars/', legendas via '/subtitles/', caches de miniaturas na nuvem via '/api/cloud/thumbnail-cache/' e URLs assinadas ou redirecionamentos na nuvem via '/cloud/videos/:filename' e '/cloud/images/:filename'. Esta falha permite o download não autenticado de mídias ocultas quando combinada com vazamentos de caminho de vídeos ocultos.

Recomendações Atualizar para a versão 1.10.3.