CVE-2025-58760

Tautulli, Plex Media Server üçün Python əsaslı monitorinq və izləmə alətidir. Tautulli v2.15.3 və daha əvvəlki versiyalarında `/image` API endpointi path traversal zəifliyinə məruz qalır və bu, autentifikasiyadan keçməmiş hücumçulara tətbiq serverinin fayl sistemindən istənilən faylları oxumağa imkan verir. Tautulli-də `/image` API endpointi tətbiqin data qovluğundan istifadəçilərə statik şəkillərin təqdim edilməsi üçün istifadə olunur. Bu endpointə autentifikasiya olmadan daxil olmaq mümkündür və onun nəzərdə tutulan məqsədi istifadəçi interfeysində server fon şəkilləri və ikonları üçündür. Hücumçular tətbiqin fayl sistemindən faylları, o cümlədən aktiv JWT tokenlərini ehtiva edən `tautulli.db` SQLite verilənlər bazasını, həmçinin heşlənmiş admin parolunu, JWT token sirrini və Plex Media Server tokenini və bağlantı detallarını ehtiva edən `config.ini` faylını çıxara bilərlər. Əgər parol sındırılarsa və ya verilənlər bazasında etibarlı JWT tokeni varsa, autentifikasiyadan keçməmiş hücumçu imtiyazlarını yüksəldərək tətbiq üzərində inzibati nəzarəti əldə edə bilər. Versiya 2.16.0 bu problemin düzəlişini ehtiva edir.