CVE-2025-58760

Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. Tautulli v2.15.3 ve önceki sürümlerdeki `/image` API uç noktası, kimlik doğrulaması yapmamış saldırganların uygulama sunucusunun dosya sisteminden rastgele dosyaları okumasına izin veren bir dizin gezginliği (path traversal) zafiyetine sahiptir. Tautulli'de `/image` API uç noktası, uygulamanın veri dizinindeki statik görüntüleri kullanıcılara sunmak için kullanılır. Bu uç noktaya kimlik doğrulaması olmadan erişilebilir ve amacı kullanıcı arayüzündeki sunucu arka plan görüntülerini ve simgelerini sağlamaktır. Saldırganlar; aktif JWT belirteçlerini içeren `tautulli.db` SQLite veritabanının yanı sıra özetlenmiş yönetici şifresini, JWT belirteç sırrını, Plex Media Server belirtecini ve bağlantı ayrıntılarını içeren `config.ini` dosyası dahil olmak üzere uygulama dosya sisteminden dosyaları sızdırabilirler. Şifrenin kırılması veya veritabanında geçerli bir JWT belirtecinin bulunması durumunda, kimlik doğrulaması yapmamış bir saldırgan yetkilerini yükselterek uygulama üzerinde yönetici kontrolü sağlayabilir. Sürüm 2.16.0 bu sorun için bir düzeltme içermektedir.