CVE-2026-112076
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W alexta69 MeTube wykryto podatność w funkcji DownloadQueue.__write_feed_metadata_sync w pliku app/ytdl.py, związaną z pobieraniem miniatur metadanych kanału. Manipulacja prowadzi do podatności SSRF (server-side request forgery), a atak można zainicjować zdalnie, choć jest on bardzo złożony. Poprawka została wydana w wersji 2026.09.29 (commit a3896604540223ecbb8258b41b1d745d62647d16).
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do zasobów wewnętrznych, co może ujawnić informacje lub umożliwić dostęp do usług niedostępnych z zewnątrz. Ze względu na wysoką złożoność eksploatacja jest trudna, ale exploit jest publiczny.
Rekomendacja
Zaktualizuj MeTube do wersji 2026.09.29 lub nowszej. Ogranicz możliwość wykonywania wychodzących żądań sieciowych z serwera aplikacji do niezbędnych adresów.
Inne podatności w MeTube
Zobacz wszystkie- CVE-2026-78051Średnie
W systemie MeTube autorstwa alexta69 do wersji 2026.06.10 wykryto podatność polegającą na nieautoryzowanym dostępie do plików lub katalogów. Dotyczy to nieznanej funkcji w pliku /download/.metube/cookies.txt w komponencie Cookie File Handler. Atak może być wykonany zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2026.06.20.
- CVE-2026-7581Średnie
W alexta69 MeTube do wersji 2026.04.09 wykryto podatność w funkcji on_prepare w pliku app/main.py dotyczącą polityki CORS. Manipulacja prowadzi do zbyt permisywnej polityki cross-domain z niezaufanymi domenami. Exploit został publicznie ujawniony, a problem naprawiono w wersji 2026.04.10.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in alexta69 MeTube up to 2026.09.28. This vulnerability affects the function DownloadQueue.__write_feed_metadata_sync of the file app/ytdl.py of the component Feed-metadata Thumbnail Fetch Handler. Such manipulation leads to server-side request forgery. The attack may be launched remotely. Attacks of this nature are highly complex. It is stated that the exploitability is difficult. The exploit has been disclosed publicly and may be used. Upgrading to version 2026.09.29 is able to resolve this issue. The name of the patch is a3896604540223ecbb8258b41b1d745d62647d16. It is suggested to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS