JVNDB-2026-009784

franklioxygenのMyTubeにおける過度な認証試行の不適切な制限に関する脆弱性

MyTubeは複数の動画サイト向けのセルフホスト型ダウンローダー兼プレイヤーです。バージョン1.8.72より前のバージョンでは、認証を受けていない攻撃者が失敗したログイン試行を繰り返すことで、管理者および訪問者アカウントをパスワード認証からロックアウトさせることが可能でした。アプリケーションは3つのパスワード検証用エンドポイントを公開しており、すべてがパブリックにアクセス可能です。これらの3つのエンドポイントは、`login-attempts.json`に保存された単一のファイルベースのログイン試行状態を共有しています。いずれかのエンドポイントが`recordFailedAttempt()`を介して認証失敗を記録すると、共有されたログイン試行状態が更新され、`failedAttempts`カウンターが増加し、関連するタイムスタンプおよびクールダウン値が調整されます。パスワード検証の前に、各エンドポイントは`canAttemptLogin()`を呼び出します。この関数は共有JSONファイルをチェックしてクールダウン期間が有効かどうかを判断します。クールダウン期間が終了していなければ、パスワード検証前にリクエストは拒否されます。失敗した試行のカウンターとクールダウンタイマーはグローバルに共有されているため、いずれかのエンドポイントに対する認証失敗はすべてのエンドポイントに影響を与えます。攻撃者はこれを悪用し、いずれかのエンドポイントに対して無効な認証リクエストを繰り返し送信して共有カウンターを増加させ、試行間のクールダウン期間を待つことでロックアウト時間を段階的に増長し24時間にまで到達させ、正当なユーザーの認証を実質的に妨害できます。最大ロックアウト時間に達した後、攻撃者はクールダウン終了後に再び失敗した試行を送信してサービス拒否状態を無期限に維持可能であり、その際、成功ログインが発生していなければ即座に再度24時間のロックアウトがトリガーされます。バージョン1.8.72でこの脆弱性は修正されています。

franklioxygen

• MyTube 1.8.72 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated Account Lockout via Shared Login Attempt State  Advisory  franklioxygen/MyTube  GitHub

1. 過度な認証試行の不適切な制限(CWE-307) [その他]

1. CVE-2026-33935

1. National Vulnerability Database (NVD) : CVE-2026-33935
2. 関連文書 : Harden auth password recovery flows  franklioxygen/MyTube@4d89b14  GitHub
3. 関連文書 : Refine auth recovery and limiter updates  franklioxygen/MyTube@752bc7f  GitHub
4. 関連文書 : Harden admin auth and remove public reset endpoint  franklioxygen/MyTube@dd7b4a6  GitHub
5. 関連文書 : MyTube/backend/src/services/loginAttemptService.ts at 941035909ee3f96a6f80f38acf70cbc3e66b5098  franklioxygen/MyTube  GitHub

• [2026年04月03日]
    掲載