CVE-2026-78051
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W systemie MeTube autorstwa alexta69 do wersji 2026.06.10 wykryto podatność polegającą na nieautoryzowanym dostępie do plików lub katalogów. Dotyczy to nieznanej funkcji w pliku /download/.metube/cookies.txt w komponencie Cookie File Handler. Atak może być wykonany zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2026.06.20.
Ocena ryzyka
Atakujący może zdalnie uzyskać dostęp do wrażliwych plików, takich jak cookies, co może prowadzić do przejęcia sesji lub kradzieży danych uwierzytelniających. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Należy natychmiast zaktualizować MeTube do wersji 2026.06.20 lub nowszej, która zawiera poprawkę. Po aktualizacji zaleca się również zmianę wszystkich haseł i kluczy sesji, które mogły być narażone.
Inne podatności w MeTube
Zobacz wszystkie- CVE-2026-112076Średnie
W alexta69 MeTube wykryto podatność w funkcji DownloadQueue.__write_feed_metadata_sync w pliku app/ytdl.py, związaną z pobieraniem miniatur metadanych kanału. Manipulacja prowadzi do podatności SSRF (server-side request forgery), a atak można zainicjować zdalnie, choć jest on bardzo złożony. Poprawka została wydana w wersji 2026.09.29 (commit a3896604540223ecbb8258b41b1d745d62647d16).
- CVE-2026-7581Średnie
W alexta69 MeTube do wersji 2026.04.09 wykryto podatność w funkcji on_prepare w pliku app/main.py dotyczącą polityki CORS. Manipulacja prowadzi do zbyt permisywnej polityki cross-domain z niezaufanymi domenami. Exploit został publicznie ujawniony, a problem naprawiono w wersji 2026.04.10.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in alexta69 MeTube up to 2026.06.10. The impacted element is an unknown function of the file /download/.metube/cookies.txt of the component Cookie File Handler. This manipulation causes files or directories accessible. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 2026.06.20 is sufficient to resolve this issue. Patch name: ce897ee00903bf7ded406f0d7852d95dd4164add. You should upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS