JVNDB-2026-002607

franklioxygenのMyTubeにおける不正な認証に関する脆弱性

MyTubeは複数の動画サイト向けのセルフホスト型ダウンローダー兼プレイヤーです。バージョン1.7.65およびそれ以前の可能性のあるバージョンに存在する脆弱性により、認証されていないユーザーがroleBasedAuthMiddleware内の必須認証チェックをバイパスできます。認証クッキーを提供しない（req.userが未定義になる）だけで、リクエストが誤って下流のハンドラーに通過します。loginEnabled: trueでMyTubeを実行しているすべてのユーザーが影響を受けます。この欠陥により攻撃者は/api/settings経由でアプリケーション設定にアクセスおよび変更でき、管理者および訪問者のパスワードを変更でき、この特定のミドルウェアに依存する他の保護されたルートにもアクセスできます。この問題はv1.7.66で修正されました。MyTubeのメンテナはすべてのユーザーに対し、インスタンスの安全性を確保するため、少なくともv1.7.64へ即時アップグレードすることを推奨しています。修正では、ミドルウェアが明示的にユーザーが認証されていない場合にリクエストをブロックし、単にnext()を呼ぶのを防止します。直ちにアップグレードできない場合は、ファイアウォールやリバースプロキシ（Nginxなど）を用いて/api/エンドポイントへのアクセスを信頼できるIPアドレスのみに制限するか、ソースコードを編集できる場合はroleBasedAuthMiddlewareを見つけて、req.userが未定義の時にnext()を呼ぶのではなくエラー（401 Unauthorized）を返すようロジックを修正してリスクを軽減してください。

franklioxygen

• MyTube 1.7.66 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Authorization Bypass vulnerability  Advisory  franklioxygen/MyTube  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-23837

1. National Vulnerability Database (NVD) : CVE-2026-23837
2. 関連文書 : Security fix: Add authentication checks for unauthenticated users in …  franklioxygen/MyTube@f85ae9b  GitHub

• [2026年02月04日]
    掲載