CVE-2026-43984
Təsvir
Tautulli, Plex Media Server üçün Python əsaslı monitorinq və izləmə alətidir. 2.17.1 versiyasından əvvəlki versiyalarda `log_js_errors` funksiyası hər hansı autentifikasiya olunmuş istifadəçiyə, o cümlədən qonaq girişi aktiv olduqda qonaq istifadəçilərə açıqdır. Bu son nöqtə hücum edən tərəf tərəfindən idarə olunan sətirləri birbaşa əsas tətbiq loquna yazır. Yalnız administratorlara məxsus olan `logFile` görünüşü həmin loq faylını oxuyur və onu simvolların filtrlənməsi (escaping) olmadan HTML cavabına daxil edir. Bu, aşağı səlahiyyətli qonağın loq faylına HTML və ya JavaScript yerləşdirə biləcəyi və loq baxıcı açıldıqda bunun administratorun brauzerində icra olunacağı saxlanılan saytlararası skriptinq (XSS) şəraitini yaradır. 2.17.1 versiyasında bu problem aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Tautulli Tautulli | < 2.17.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.