CVE-2026-63434

Nome do Software Vulnerável e Versões Afetadas MyTube versões anteriores a 1.10.6

Descrição Quando statisticsEnabled e statisticsTrackVisitorActivity estão habilitados, um usuário com função de visitante pode enviar eventos fabricados para o endpoint de ingestão de estatísticas gerenciado pela função ingestEvents() em backend/src/controllers/statisticsController.ts. O manipulador processa req.body.events e aceita as variáveis platform, sourceKind e sessionId sem validação do lado do servidor. Isso permite que um visitante atribua eventos falsos a plataformas, fontes e sessões arbitrárias, corrompendo as contagens de visualizações, contagens de downloads, detalhamentos de plataforma, atribuição de fonte e análises de sessão visíveis para o administrador.

Recomendações Atualize para a versão 1.10.6. Como mitigação temporária, desative as configurações statisticsEnabled ou statisticsTrackVisitorActivity.