CVE-2026-49995

Tautulli w wersjach przed 2.17.1 udostępnia publiczną ścieżkę `/image/<hash>`, która rozwiązuje wpisy kontrolowane przez atakującego z tabeli `image_hash_lookup` i odtwarza je przez logikę pobierania obrazów po stronie serwera. Niskouprzywilejowany użytkownik gościa może umieścić złośliwy zewnętrzny adres URL obrazu w tej tabeli, a następnie wywołać pobieranie po stronie serwera przez w pełni nieuwierzytelniony punkt końcowy, co zamienia uwierzytelnioną podatność SSRF w trwały, nieuwierzytelniony gadżet SSRF.

W Tautulli przed wersją 2.17.2 nieuwierzytelniony endpoint /auth/redirect usuwa ukośniki z parametru redirect_uri, ale pozostawia znaki tabulacji, nowej linii i powrotu karetki. Przy domyślnej konfiguracji HTTP_ROOT pozwala to przekierować użytkownika na zewnętrzną domenę kontrolowaną przez atakującego.

Tautulli przed wersją 2.17.2 w handlerze import_config oraz w gałęzi database_file funkcji import_database łączy kontrolowaną przez atakującego nazwę pliku bezpośrednio z CACHE_DIR bez redukcji do basename ani sprawdzenia zawierania ścieżki. Administrator lub wywołujący z kluczem API instancji może przesłać nazwę pliku zawierającą segmenty katalogu nadrzędnego, powodując zapis lub nadpisanie pliku poza CACHE_DIR.

W Tautulli przed wersją 2.17.2 endpoint /search wstawia kontrolowany przez użytkownika parametr zapytania do łańcucha JavaScript z ręcznym escapowaniem, które nie obsługuje odwrotnych ukośników. Sekwencja odwrotny ukośnik-cudzysłów może zakończyć łańcuch, umożliwiając nieuwierzytelnionemu atakującemu wykonanie skryptu w kontekście webowym Tautulli, gdy uwierzytelniony użytkownik kliknie spreparowany link.

Tautulli w wersjach przed 2.17.1 nie wymusza metody POST na punkcie końcowym `configUpdate` i nie używa tokenów anty-CSRF. Atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwej strony, która wysyła żądanie międzywitrynowe, nadpisując nazwę użytkownika i hasło administratora, co pozwala na przejęcie interfejsu administracyjnego.

Tautulli to narzędzie monitorujące dla Plex Media Server. Przed wersją 2.17.1 endpoint `log_js_errors` jest dostępny dla każdego uwierzytelnionego użytkownika, w tym gości. Endpoint zapisuje kontrolowane przez atakującego ciągi znaków do logu aplikacji. Widok `logFile` (tylko dla administratora) odczytuje ten log i osadza go w odpowiedzi HTML bez kodowania, co prowadzi do przechowywanego XSS. Gość może wstrzyknąć HTML/JavaScript, które wykona się w przeglądarce administratora.

Tautulli przed wersją 2.17.1 jest podatny na zdalne wykonanie kodu poprzez funkcję niestandardowego szablonu newslettera. Na świeżej instalacji przed ukończeniem kreatora konfiguracji wszystkie endpointy zarządzania są nieuwierzytelnione. Atakujący może utworzyć agenta newslettera, wskazać katalog szablonów na kontrolowany SMB share z złośliwym szablonem Mako i wywołać kod przez endpoint renderowania newslettera.

Tautulli przed wersją 2.17.1 zawiera podatność typu path traversal w punkcie końcowym usuwania pamięci podręcznej. Uwierzytelniony atakujący może usunąć katalogi poza skonfigurowaną ścieżką cache, co prowadzi do utraty danych i przerwania usługi. Problem naprawiono w wersji 2.17.1.