CVE-2026-7581
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W alexta69 MeTube do wersji 2026.04.09 wykryto podatność w funkcji on_prepare w pliku app/main.py dotyczącą polityki CORS. Manipulacja prowadzi do zbyt permisywnej polityki cross-domain z niezaufanymi domenami. Exploit został publicznie ujawniony, a problem naprawiono w wersji 2026.04.10.
Ocena ryzyka
Niezaufane domeny mogą uzyskać dostęp do zasobów aplikacji w kontekście przeglądarki użytkownika. Publicznie dostępny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj MeTube do wersji 2026.04.10 lub nowszej. Zweryfikuj konfigurację nagłówków CORS i ogranicz dozwolone originy.
Inne podatności w MeTube
Zobacz wszystkie- CVE-2026-112076Średnie
W alexta69 MeTube wykryto podatność w funkcji DownloadQueue.__write_feed_metadata_sync w pliku app/ytdl.py, związaną z pobieraniem miniatur metadanych kanału. Manipulacja prowadzi do podatności SSRF (server-side request forgery), a atak można zainicjować zdalnie, choć jest on bardzo złożony. Poprawka została wydana w wersji 2026.09.29 (commit a3896604540223ecbb8258b41b1d745d62647d16).
- CVE-2026-78051Średnie
W systemie MeTube autorstwa alexta69 do wersji 2026.06.10 wykryto podatność polegającą na nieautoryzowanym dostępie do plików lub katalogów. Dotyczy to nieznanej funkcji w pliku /download/.metube/cookies.txt w komponencie Cookie File Handler. Atak może być wykonany zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2026.06.20.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in alexta69 MeTube up to 2026.04.09. This affects the function on_prepare of the file app/main.py of the component CORS Policy. The manipulation leads to permissive cross-domain policy with untrusted domains. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 2026.04.10 is able to mitigate this issue. The identifier of the patch is 0072d3488ae5b8d922d3ee87458d829993742a32. It is recommended to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS