JVNDB-2026-002606

franklioxygenのMyTubeにおけるセキュリティ決定の信頼できない入力への依存に関する脆弱性

MyTubeは複数の動画サイト向けのセルフホスト型ダウンローダー兼プレーヤーです。バージョン1.7.71以前には、`X-Forwarded-For`ヘッダーの偽装によるレート制限回避の脆弱性が存在し、認証されていない攻撃者がIPベースのレート制限を一般的なAPIエンドポイントで回避できます。攻撃者は`X-Forwarded-For`ヘッダーを操作してクライアントIPを偽装し、保護されたエンドポイント（一般的なAPIエンドポイントを含みます）へのリクエストを無制限に行うことが可能です。これによりサービス拒否（DoS）が引き起こされるほか、その他のレート制限機能も回避されます。バージョン1.7.71ではこの問題に対する修正が含まれています。

franklioxygen

• MyTube 1.7.71 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Rate Limiting Bypass via X-Forwarded-For Header Spoofing  Advisory  franklioxygen/MyTube  GitHub

1. セキュリティ決定の信頼できない入力への依存(CWE-807) [その他]

1. CVE-2026-23848

1. National Vulnerability Database (NVD) : CVE-2026-23848
2. 関連文書 : refactor: Improve IP extraction and validation safety  franklioxygen/MyTube@bc05745  GitHub

• [2026年02月04日]
    掲載