CVE-2026-63433

Nome do Software Vulnerável e Versões Afetadas MyTube versões anteriores a 1.10.6

Descrição Existe um problema onde a função shouldSkipCsrfProtection() em backend/src/middleware/csrfConfig.ts delega para isApiKeyRequest(), que concede uma isenção de Cross-Site Request Forgery (CSRF) baseada apenas na presença de um cabeçalho x-api-key ou de um valor Authorization: ApiKey, em vez de uma validação bem-sucedida da chave de API. Com uma configuração permissiva de CORS ALLOWED ORIGINS, um invasor não autenticado pode atrair um administrador autenticado para conteúdo controlado pelo invasor que envia uma solicitação de alteração de estado cross-origin com um valor de chave de API arbitrário. O cookie de sessão da vítima autentica a solicitação enquanto a validação do token CSRF é ignorada, permitindo operações de API administrativas destrutivas ou outras, como excluir mídia, disparar downloads ou alterar inscrições.

Recomendações Atualizar para a versão 1.10.6.