DUPIN Alertas · franklioxygenhttps://alertas.dupin.com.ar/fabricante/franklioxygen/Alertas de vulnerabilidades de franklioxygen.esTue, 03 Nov 2026 21:57:15 +000010Vulnerabilidad: CVE-2026-63433 · Evasión de protección CSRF en MyTube mediante valor arbitrario del encabezado x-api-keyhttps://alertas.dupin.com.ar/cve/CVE-2026-63433/tg:63061Tue, 03 Nov 2026 21:57:15 +0000VulnerabilidadEn MyTube anterior a 1.10.6, shouldSkipCsrfProtection() en backend/src/middleware/csrfConfig.ts delega en isApiKeyRequest(), que otorga la exención de CSRF solo por la presencia de un encabezado x-api-key o un valor Authorization: ApiKey, sin validar la clave. Con una configuración permisiva de CORS_ALLOWED_ORIGINS, un atacante no autenticado puede inducir a un administrador autenticado a enviar una petición de cambio de estado con un valor de API key arbitrario, permitiendo operaciones administrativas…Vulnerabilidad: CVE-2026-62302 · Acceso no autenticado a medios en MyTube por rutas estáticas fuera del middleware de autenticaciónhttps://alertas.dupin.com.ar/cve/CVE-2026-62302/tg:62361Fri, 30 Oct 2026 21:00:16 +0000VulnerabilidadEn MyTube, versiones anteriores a 1.10.3, server.ts registra las rutas estáticas y de nube antes de las rutas de API donde se monta authMiddleware, por lo que quedan fuera del control de autenticación aunque loginEnabled sea true. Clientes no autenticados pueden acceder a videos, miniaturas, avatares, subtítulos y rutas de nube mediante peticiones directas. Corregido en 1.10.3.