CVE-2026-52835

Tautulli, Plex Media Server üçün Python əsaslı monitorinq və izləmə alətidir. Versiya 2.17.2-dən əvvəl, plexpy/webserve.py faylında olan import_config handler-i və import_database funksiyasının database_file budağı, hücum edən tərəfindən idarə olunan config_file.filename və ya database_file.filename dəyişənlərini basename azaldılması və ya məhdudiyyət yoxlaması olmadan birbaşa CACHE_DIR ilə birləşdirir. Administrator və ya instansiya API açarına malik çağırıcı, valideyn kataloq seqmentlərini ehtiva edən çoxhissəli (multipart) fayl adını təqdim edə bilər ki, bu da fayl məzmununun validasiyası həyata keçirməzdən əvvəl yükləmənin CACHE_DIR-dən kənarda yaradılmasına və ya mövcud faylın üzərinə yazılmasına səbəb olur. Yazma əməliyyatı yalnız Tautulli prosesinə icazə verilmiş yollarla məhdudlaşdırılır, lakin bu, konfiqurasiyanın dəyişdirilməsinə, xidmətin pozulmasına və ya kodun icrasına şərait yarada bilər. Bu problem 2.17.2 versiyasında düzəldilmişdir.