MyTubeは、完全なアプリケーションテイクオーバーを可能にする不適切なアクセス制御があります

CVE-2026-33735 は、MyTube に影響を与えます。MyTube は、さまざまなビデオウェブサイト用のセルフホスト型ダウンローダーおよびプレーヤーです。脆弱性は /api/settings/import-database エンドポイントに存在し、認証バイパスが発見されました。これにより、低権限の資格情報を持つ攻撃者は、アプリケーションの SQLite データベースをアップロードして完全に置き換えることができます。影響は深刻であり、攻撃者はアプリケーションを完全に侵害し、機密データにアクセスし、構成を変更し、悪意のあるコードを実行する可能性があります。この脆弱性は、このエンドポイントに限定されず、適切な認証検証を実装していない他の POST ルートで悪用される可能性があります。この欠陥の重大性は、攻撃者が MyTube システム全体を制御する容易さにあります。

Self-hosted MyTube users are at significant risk, particularly those who have not implemented strong access controls or are running older, vulnerable versions. Shared hosting environments where multiple users share a single MyTube instance are also at increased risk, as a compromise of one user's account could potentially lead to the compromise of the entire application.

• sqlite / server:

sqlite3 /path/to/MyTube/database.db "SELECT sql FROM sqlite_master WHERE type='table' AND name='users';"

• generic web:

curl -I http://your-mytube-instance/api/settings/import-database

(Check for 200 OK response with low-privilege user) • linux / server:

journalctl -u mytube | grep -i "import-database"

(Look for unusual activity related to database imports)

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-27
3. EPSS 更新日2026-04-03

CVE-2026-33735 の解決策は、MyTube をバージョン 1.8.69 以降に更新することです。このバージョンには、/api/settings/import-database エンドポイントおよびその他の脆弱な POST ルートの認証バイパスを軽減する修正が含まれています。MyTube インスタンスを保護するために、この更新を直ちに適用することをお勧めします。さらに、アプリケーションのセキュリティ構成を確認し、ユーザーの資格情報が安全に管理され、重要な機能へのアクセスを制限するために適切なアクセス制御が実装されていることを確認してください。アプリケーションログを疑わしいアクティビティについて監視することも、潜在的な攻撃を検出し、対応するのに役立ちます。