MyTube tem um Controle de Acesso Impróprio que Permite a Tomada Completa do Aplicativo

CVE-2026-33735 afeta o MyTube, um software auto-hospedado para baixar e reproduzir vídeos de várias plataformas. A vulnerabilidade reside no endpoint /api/settings/import-database, onde uma omissão de autorização foi descoberta. Isso permite que atacantes com credenciais de baixo privilégio carreguem e substituam completamente o banco de dados SQLite do aplicativo. O impacto é grave, pois um atacante pode comprometer totalmente o aplicativo, obtendo acesso a dados confidenciais, modificando configurações e, potencialmente, executando código malicioso. A vulnerabilidade não se limita a este endpoint; pode ser explorada em outras rotas POST que não implementem uma validação de autorização adequada. A gravidade desta falha reside na facilidade com que um atacante pode obter controle total sobre o sistema MyTube.

Self-hosted MyTube users are at significant risk, particularly those who have not implemented strong access controls or are running older, vulnerable versions. Shared hosting environments where multiple users share a single MyTube instance are also at increased risk, as a compromise of one user's account could potentially lead to the compromise of the entire application.

• sqlite / server:

sqlite3 /path/to/MyTube/database.db "SELECT sql FROM sqlite_master WHERE type='table' AND name='users';"

• generic web:

curl -I http://your-mytube-instance/api/settings/import-database

(Check for 200 OK response with low-privilege user) • linux / server:

journalctl -u mytube | grep -i "import-database"

(Look for unusual activity related to database imports)

1. 2026-03-27Disclosure

   disclosure

1. Reservado2026-03-23
2. Publicada2026-03-27
3. EPSS atualizado2026-04-03

A solução para CVE-2026-33735 é atualizar o MyTube para a versão 1.8.69 ou superior. Esta versão inclui uma correção que mitiga a omissão de autorização no endpoint /api/settings/import-database e em outras rotas POST suscetíveis. A aplicação imediata desta atualização é recomendada para proteger sua instância do MyTube. Além disso, revise a configuração de segurança do seu aplicativo, garantindo que as credenciais do usuário sejam gerenciadas com segurança e que controles de acesso apropriados sejam implementados para restringir o acesso a funções críticas. Monitorar os logs do aplicativo em busca de atividades suspeitas também pode ajudar a detectar e responder a possíveis ataques.