CVE-2026-43984
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Tautulli to narzędzie monitorujące dla Plex Media Server. Przed wersją 2.17.1 endpoint `log_js_errors` jest dostępny dla każdego uwierzytelnionego użytkownika, w tym gości. Endpoint zapisuje kontrolowane przez atakującego ciągi znaków do logu aplikacji. Widok `logFile` (tylko dla administratora) odczytuje ten log i osadza go w odpowiedzi HTML bez kodowania, co prowadzi do przechowywanego XSS. Gość może wstrzyknąć HTML/JavaScript, które wykona się w przeglądarce administratora.
Ocena ryzyka
Ryzyko przejęcia sesji administratora i wykonania złośliwych działań w kontekście aplikacji Tautulli.
Rekomendacja
Zaktualizuj Tautulli do wersji 2.17.1 lub nowszej.
Inne podatności w Tautulli
Zobacz wszystkie- CVE-2026-43986Krytyczne
Tautulli w wersjach przed 2.17.1 udostępnia publiczną ścieżkę `/image/<hash>`, która rozwiązuje wpisy kontrolowane przez atakującego z tabeli `image_hash_lookup` i odtwarza je przez logikę pobierania obrazów po stronie serwera. Niskouprzywilejowany użytkownik gościa może umieścić złośliwy zewnętrzny adres URL obrazu w tej tabeli, a następnie wywołać pobieranie po stronie serwera przez w pełni nieuwierzytelniony punkt końcowy, co zamienia uwierzytelnioną podatność SSRF w trwały, nieuwierzytelniony gadżet SSRF.
- CVE-2026-54915Średnie
W Tautulli przed wersją 2.17.2 nieuwierzytelniony endpoint /auth/redirect usuwa ukośniki z parametru redirect_uri, ale pozostawia znaki tabulacji, nowej linii i powrotu karetki. Przy domyślnej konfiguracji HTTP_ROOT pozwala to przekierować użytkownika na zewnętrzną domenę kontrolowaną przez atakującego.
- CVE-2026-52835Wysokie
Tautulli przed wersją 2.17.2 w handlerze import_config oraz w gałęzi database_file funkcji import_database łączy kontrolowaną przez atakującego nazwę pliku bezpośrednio z CACHE_DIR bez redukcji do basename ani sprawdzenia zawierania ścieżki. Administrator lub wywołujący z kluczem API instancji może przesłać nazwę pliku zawierającą segmenty katalogu nadrzędnego, powodując zapis lub nadpisanie pliku poza CACHE_DIR.
- CVE-2026-49995Średnie
W Tautulli przed wersją 2.17.2 pole cron newslettera jest wstawiane do łańcucha JavaScript bez bezpiecznego kodowania JSON. Administrator lub osoba z kluczem API Tautulli może zapisać spreparowaną wartość cron, która wykona skrypt w kontekście webowym Tautulli, gdy administrator otworzy okno konfiguracji newslettera.
- CVE-2026-45381Średnie
W Tautulli przed wersją 2.17.2 endpoint /search wstawia kontrolowany przez użytkownika parametr zapytania do łańcucha JavaScript z ręcznym escapowaniem, które nie obsługuje odwrotnych ukośników. Sekwencja odwrotny ukośnik-cudzysłów może zakończyć łańcuch, umożliwiając nieuwierzytelnionemu atakującemu wykonanie skryptu w kontekście webowym Tautulli, gdy uwierzytelniony użytkownik kliknie spreparowany link.
- CVE-2026-43985Wysokie
Tautulli w wersjach przed 2.17.1 nie wymusza metody POST na punkcie końcowym `configUpdate` i nie używa tokenów anty-CSRF. Atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwej strony, która wysyła żądanie międzywitrynowe, nadpisując nazwę użytkownika i hasło administratora, co pozwala na przejęcie interfejsu administracyjnego.
- CVE-2026-41065Wysokie
Tautulli przed wersją 2.17.1 jest podatny na zdalne wykonanie kodu poprzez funkcję niestandardowego szablonu newslettera. Na świeżej instalacji przed ukończeniem kreatora konfiguracji wszystkie endpointy zarządzania są nieuwierzytelnione. Atakujący może utworzyć agenta newslettera, wskazać katalog szablonów na kontrolowany SMB share z złośliwym szablonem Mako i wywołać kod przez endpoint renderowania newslettera.
- CVE-2026-40605Średnie
Tautulli przed wersją 2.17.1 zawiera podatność typu path traversal w punkcie końcowym usuwania pamięci podręcznej. Uwierzytelniony atakujący może usunąć katalogi poza skonfigurowaną ścieżką cache, co prowadzi do utraty danych i przerwania usługi. Problem naprawiono w wersji 2.17.1.
Oryginalny opis (angielski, źródło NVD)
Tautulli is a Python based monitoring and tracking tool for Plex Media Server. Versions prior to 2.17.1 expose `log_js_errors` to any authenticated user, including guest users when guest access is enabled. The endpoint writes attacker-controlled strings directly into the main application log. The administrator-only `logFile` view then reads that log file and embeds it into an HTML response without escaping. This creates a stored cross-site scripting condition where a low-privilege guest can inject HTML or JavaScript into the log file and have it execute in an administrator's browser when the log viewer is opened. Version 2.17.1 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS