MyTube: Unauthentifizierter Medienzugriff über statische Routen, die den Login umgehen
Zusammenfassung
MyTube, ein selbst gehosteter Video-Downloader und -Player, registriert seine statischen Medien- und Cloud-Routen vor der Authentifizierungs-Middleware. Bei loginEnabled=true können nicht authentifizierte Clients lokale Videos, Thumbnails, Avatare, Untertitel und signierte Cloud-URLs direkt abrufen. In Kombination mit der Sichtbarkeitslücke bei versteckten Videos (CVE-2026-62301) ist so der unauthentifizierte Download versteckter Medien möglich.
Betroffen
- MyTube-Versionen vor 1.10.3 (CNA-Daten; das GitHub-Advisory nennt bis v1.10.2)
- Nur relevant bei loginEnabled=true; Installationen mit dem Standardwert loginEnabled=false haben keine Authentifizierungsgrenze, die umgangen werden könnte
Behoben in
- Behoben in Version 1.10.3 (Commit 7cc7c6a7d297ccbd8bd2c76755129381b96f8456)
Umgehung
- Dem Hersteller ist keine dokumentierte Workaround-Massnahme bekannt. Unbekannt.
- Die Instanz nicht direkt aus dem Internet erreichbar machen; ein VPN oder einen authentifizierten Proxy verwenden, der den Login auch für die Medienpfade erzwingt (/videos, /images, /images-small, /avatars, /subtitles, /cloud, /api/cloud/thumbnail-cache)
Ausnutzung
- Zum Zeitpunkt der Erfassung ist keine Ausnutzung in freier Wildbahn bekannt; nicht in der CISA KEV gelistet.
- Kein öffentlicher Proof of Concept gefunden. Der Angriff erfordert keine Zugangsdaten.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Alle MyTube-Instanzen und deren Versionen erfassen.
- Auf 1.10.3 aktualisieren, insbesondere wo loginEnabled verwendet wird.
- Direkte Internetexposition wo möglich entfernen.
- Gleichzeitig auf die verwandte Schwachstelle CVE-2026-62301 prüfen.
- Exponierte Medienbibliotheken auf private oder versteckte Inhalte prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rwwf-29mq-5j43 github.com
- Fix commit 7cc7c6a7d297ccbd8bd2c76755129381b96f8456 github.com
- MyTube release v1.10.3 github.com
- VulDB entry 429351 vuldb.com
- Strix CVE-2026-62302 www.strix.ai
- CVE threat intelligence CVE-2026-62302 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.