MyTube heeft een Incorrecte Toegangscontrole die een Volledige Applicatie Overname Mogelijk Maakt

CVE-2026-33735 treft MyTube, een zelf-gehoste downloader en speler voor verschillende videoplatformen. De kwetsbaarheid bevindt zich in de /api/settings/import-database endpoint, waar een autorisatie-omzeiling is ontdekt. Dit stelt aanvallers met lage-privilege credentials in staat om de SQLite-database van de applicatie te uploaden en volledig te vervangen. De impact is ernstig, aangezien een aanvaller de applicatie volledig kan compromitteren, toegang kan krijgen tot gevoelige gegevens, configuraties kan wijzigen en potentieel kwaadaardige code kan uitvoeren. De kwetsbaarheid is niet beperkt tot deze endpoint; het kan worden misbruikt in andere POST-routes die geen adequate autorisatievalidatie implementeren. De ernst van dit defect ligt in de eenvoud waarmee een aanvaller de volledige controle over het MyTube-systeem kan verwerven.

Self-hosted MyTube users are at significant risk, particularly those who have not implemented strong access controls or are running older, vulnerable versions. Shared hosting environments where multiple users share a single MyTube instance are also at increased risk, as a compromise of one user's account could potentially lead to the compromise of the entire application.

• sqlite / server:

sqlite3 /path/to/MyTube/database.db "SELECT sql FROM sqlite_master WHERE type='table' AND name='users';"

• generic web:

curl -I http://your-mytube-instance/api/settings/import-database

(Check for 200 OK response with low-privilege user) • linux / server:

journalctl -u mytube | grep -i "import-database"

(Look for unusual activity related to database imports)

1. 2026-03-27Disclosure

   disclosure

1. Gereserveerd2026-03-23
2. Gepubliceerd2026-03-27
3. EPSS bijgewerkt2026-04-03

De oplossing voor CVE-2026-33735 is om MyTube te updaten naar versie 1.8.69 of hoger. Deze versie bevat een fix die de autorisatie-omzeiling in de /api/settings/import-database endpoint en in andere kwetsbare POST-routes verzacht. Het onmiddellijk toepassen van deze update wordt aanbevolen om uw MyTube-instantie te beschermen. Controleer bovendien de beveiligingsconfiguratie van uw applicatie en zorg ervoor dat gebruikerscredentials veilig worden beheerd en dat passende toegangscontroles worden geïmplementeerd om de toegang tot kritieke functies te beperken. Het monitoren van applicatielogs op verdachte activiteiten kan ook helpen bij het detecteren en reageren op potentiële aanvallen.