PT-2026-53996 · Invidious · Invidious

George Chen · Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58447

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Invidious versões anteriores a 2.20260626.0

Description Existe um problema onde atacantes autenticados podem excluir vídeos de playlists pertencentes a outros usuários. Isso ocorre porque o sistema não valida a propriedade quando uma solicitação é feita ao endpoint de playlist usando a ação remove video. Atacantes podem recuperar valores de índice global de vídeo por meio da API JSON pública de playlist e fornecer um índice arbitrário ao endpoint de exclusão para remover permanentemente conteúdo de playlists que não lhes pertencem. Trata-se de uma falha de autorização quebrada no nível do objeto (broken object level authorization), que ocorre quando uma aplicação não verifica adequadamente se o usuário tem permissão para acessar ou modificar um objeto específico.

Recommendations Atualize para a versão que contém o commit 77ad416. Restrinja o acesso à ação remove video no endpoint de playlist para minimizar o risco de exclusões não autorizadas.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-58447

Produtos afetados

Invidious

Referências · 8

• 🔥 https://github.com/iv-org/invidious/issues/5777 · Exploit
• https://github.com/iv-org/invidious/commit/77ad41678b45c4f6815940123f1796fc51259f45 · Correção
• https://github.com/iv-org/invidious/pull/5790 · Nota
• https://vulncheck.com/advisories/invidious-cross-user-playlist-video-deletion-via-missing-ownership-check · Nota
• https://twitter.com/infoflowcloud/status/2072078099764707690 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2072091729369419783 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2072076781499392143 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-58447 · Nota de Segurança