CVE-2026-23837

MyTube, çeşitli video web siteleri için kendi sunucunuzda barındırabileceğiniz bir indirici ve oynatıcıdır. Versiyon 1.7.65 ve potansiyel olarak daha önceki versiyonlarda bulunan bir güvenlik açığı, kimliği doğrulanmamış kullanıcıların roleBasedAuthMiddleware içerisindeki zorunlu kimlik doğrulama kontrolünü atlatmasına olanak tanır. Sadece bir kimlik doğrulama çerezi sağlanmayarak (req.user değerinin tanımsız hale getirilmesiyle), istek hatalı bir şekilde alt işleyicilere aktarılır. MyTube'u loginEnabled: true şeklinde çalıştıran tüm kullanıcılar etkilenmektedir. Bu açık; bir saldırganın /api/settings üzerinden uygulama ayarlarına erişmesine ve bunları değiştirmesine, yönetici ve ziyaretçi şifrelerini güncellemesine ve bu özel ara yazılıma dayanan diğer korumalı rotalara erişmesine izin verir. Sorun v1.7.66 sürümünde düzeltilmiştir. MyTube geliştiricileri, örneklerini güvenli hale getirmek için tüm kullanıcıların derhal en az v1.7.64 sürümüne yükseltme yapmalarını önermektedir. Düzeltme, ara yazılımın varsayılan olarak next() fonksiyonunu çağırması yerine, kullanıcı kimliği doğrulanmadığında istekleri açıkça engellemesini sağlar. Hemen yükseltme yapamayanlar, bir güvenlik duvarı veya ters proxy (Nginx gibi) kullanarak ağ erişimini kısıtlayıp /api/ uç noktalarına erişimi yalnızca güvenilir IP adresleriyle sınırlandırarak riski azaltabilirler veya kaynak kodu düzenleme konusunda deneyimlilerse, roleBasedAuthMiddleware kısmını bulup req.user tanımsız olduğunda next() çağrılmak yerine mantığın varsayılan olarak bir hata (401 Unauthorized) döndürmesini sağlayarak manuel yama uygulayabilirler.