CVE-2026-73211
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
PeerTube to platforma do strumieniowania wideo z federacją ActivityPub. Przed wersją 8.1.6 funkcja ActorFollowModel.updateScore() interpoluje kontrolowany przez atakującego adres inboxUrl aktora ActivityPub do zapytania SQL, co pozwala nieuwierzytelnionemu zdalnemu serwerowi na odczyt i zapis tabel bazy danych PeerTube, w tym oAuthToken.accessToken, oraz przejęcie kont administratorów. Problem został naprawiony w wersji 8.1.6.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie instancji PeerTube, w tym kont administratorów i dostęp do wrażliwych danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową aktualizację PeerTube do wersji 8.1.6 lub nowszej oraz wdrożenie walidacji danych wejściowych w zapytaniach SQL.
Inne podatności w PeerTube
Zobacz wszystkie- CVE-2026-73090Krytyczne
PeerTube to platforma do strumieniowania wideo z federacją ActivityPub. Przed wersją 8.2.2 funkcje processUpdateActivity i processUpdateVideo akceptują aktualizację ActivityPub zawierającą obiekt Video bez weryfikacji, czy byActor.url jest autoryzowany dla hosta w videoObject.id, co pozwala złośliwemu serwerowi federacyjnemu na przepisanie metadanych wideo, widoczności, pliku multimedialnego i adresów URL HLS innego serwera. Problem został naprawiony w wersji 8.2.2.
- CVE-2026-57167Średnie
PeerTube przed wersją 8.2.2 zawiera podatność na wstrzykiwanie skryptów (XSS) na stronach odtwarzania wideo renderowanych po stronie serwera. Podczas generowania bloku JSON-LD schema.org, metadane wideo są serializowane bez odpowiedniego kodowania znaków specjalnych, co pozwala atakującemu na wstrzyknięcie dowolnego kodu HTML lub JavaScript.
Oryginalny opis (angielski, źródło NVD)
PeerTube is an ActivityPub-federated video streaming platform. Prior to 8.1.6, ActorFollowModel.updateScore() interpolates the attacker-controlled ActivityPub actor inboxUrl into an SQL query, allowing an unauthenticated remote server to read and write PeerTube database tables, including oAuthToken.accessToken, and take over administrator accounts. This issue is fixed in version 8.1.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS