CVE-2026-40605
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Tautulli przed wersją 2.17.1 zawiera podatność typu path traversal w punkcie końcowym usuwania pamięci podręcznej. Uwierzytelniony atakujący może usunąć katalogi poza skonfigurowaną ścieżką cache, co prowadzi do utraty danych i przerwania usługi. Problem naprawiono w wersji 2.17.1.
Ocena ryzyka
Atakujący z dostępem API może spowodować nieodwracalną utratę danych oraz zakłócić działanie usługi.
Rekomendacja
Należy zaktualizować Tautulli do wersji 2.17.1 lub nowszej.
Inne podatności w Tautulli
Zobacz wszystkie- CVE-2026-43986Krytyczne
Tautulli w wersjach przed 2.17.1 udostępnia publiczną ścieżkę `/image/<hash>`, która rozwiązuje wpisy kontrolowane przez atakującego z tabeli `image_hash_lookup` i odtwarza je przez logikę pobierania obrazów po stronie serwera. Niskouprzywilejowany użytkownik gościa może umieścić złośliwy zewnętrzny adres URL obrazu w tej tabeli, a następnie wywołać pobieranie po stronie serwera przez w pełni nieuwierzytelniony punkt końcowy, co zamienia uwierzytelnioną podatność SSRF w trwały, nieuwierzytelniony gadżet SSRF.
- CVE-2026-43985Wysokie
Tautulli w wersjach przed 2.17.1 nie wymusza metody POST na punkcie końcowym `configUpdate` i nie używa tokenów anty-CSRF. Atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwej strony, która wysyła żądanie międzywitrynowe, nadpisując nazwę użytkownika i hasło administratora, co pozwala na przejęcie interfejsu administracyjnego.
- CVE-2026-43984Wysokie
Tautulli to narzędzie monitorujące dla Plex Media Server. Przed wersją 2.17.1 endpoint `log_js_errors` jest dostępny dla każdego uwierzytelnionego użytkownika, w tym gości. Endpoint zapisuje kontrolowane przez atakującego ciągi znaków do logu aplikacji. Widok `logFile` (tylko dla administratora) odczytuje ten log i osadza go w odpowiedzi HTML bez kodowania, co prowadzi do przechowywanego XSS. Gość może wstrzyknąć HTML/JavaScript, które wykona się w przeglądarce administratora.
- CVE-2026-41065Wysokie
Tautulli przed wersją 2.17.1 jest podatny na zdalne wykonanie kodu poprzez funkcję niestandardowego szablonu newslettera. Na świeżej instalacji przed ukończeniem kreatora konfiguracji wszystkie endpointy zarządzania są nieuwierzytelnione. Atakujący może utworzyć agenta newslettera, wskazać katalog szablonów na kontrolowany SMB share z złośliwym szablonem Mako i wywołać kod przez endpoint renderowania newslettera.
Oryginalny opis (angielski, źródło NVD)
Tautulli is a Python based monitoring and tracking tool for Plex Media Server. Prior to version 2.17.1, a path traversal vulnerability in the cache deletion endpoint allows authenticated API access to delete directories outside the configured cache path. This can cause arbitrary data loss and service disruption. Version 2.17.1 fixes the issue.