CVE-2026-23837

MyTube bir neçə video saytı üçün özünə məxsus host edilən yükləyici və pleyerdir. Versiya 1.7.65 və potensial olaraq daha əvvəlki versiyalarda mövcud olan zəiflik, autentifikasiya olunmamış istifadəçilərə roleBasedAuthMiddleware daxilindəki məcburi autentifikasiya yoxlamasından yan keçməyə imkan verir. Sadəcə autentifikasiya kukisi təqdim etməyərək (req.user dəyişənini təyin olunmamış edərək), sorğu yanlış şəkildə növbəti handler-lərə ötürülür. loginEnabled: true parametrləri ilə MyTube işlədən bütün istifadəçilər bu problemdən təsirlənir. Bu çatışmazlıq hücumçuya /api/settings vasitəsilə tətbiq parametrlərinə giriş əldə etməyə və onları dəyişməyə, inzibati və ziyarətçi şifrələrini dəyişməyə və həmin konkret middleware-dən asılı olan digər qorunan marşrutlara daxil olmağa imkan verir. Problem v1.7.66 versiyasında aradan qaldırılmışdır. MyTube administratorları bütün istifadəçilərə instansiyalarını təhlükəsizləşdirmək üçün dərhal ən azı v1.7.64 versiyasına yüksəltmə etməyi tövsiyə edirlər. Düzəliş təmin edir ki, middleware istifadəçi autentifikasiya olunmadıqda, susmaya görə next() funksiyasını çağırmaq əvəzinə, sorğuları açıq şəkildə bloklasın. Təcili yeniləmə edə bilməyənlər, firewall və ya reverse proxy (məsələn, Nginx) istifadə edərək şəbəkə girişini məhdudlaşdırmaqla /api/ sonluqlarına girişi yalnız etibarlı IP ünvanları üçün aktiv edərək riski azalda bilərlər və ya mənbə kodunu redaktə etməkdə rahatdırsa, roleBasedAuthMiddleware hissəsini taparaq req.user təyin olunmadığı halda next() çağırılmaq əvəzinə, məntiqin standart olaraq xəta (401 Unauthorized) qaytarmasını təmin edərək əllə düzəliş edə bilərlər.