CVE-2025-58763

Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. Tautulli v2.15.3 ve önceki sürümlerde bulunan bir komut enjeksiyonu zafiyeti, yönetici ayrıcalıklarına sahip saldırganların uygulama sunucusunda uzaktan kod çalıştırmasına olanak tanır. Bu zafiyetin oluşması için uygulamanın GitHub'dan klonlanmış ve manuel olarak kurulmuş olması gerekir. Tautulli doğrudan GitHub'dan klonlandığında ve manuel olarak kurulduğunda, uygulama güncellemeleri ve versiyonlamayı `git` komutu çağrıları aracılığıyla yönetir. Kod içerisinde bu işlem, `versioncheck.py` dosyasındaki `runGit` fonksiyonu üzerinden gerçekleştirilir. `subprocess.Popen` fonksiyonuna `shell=True` parametresi iletildiği için, argümanlar içindeki kabuk karakterleri temel kabuğa aktarılacak ve bu durum çağrıyı komut enjeksiyonuna açık hale getirecektir. Bunun tetiklenebileceği somut bir konum `checkout_git_branch` uç noktasıdır. Bu uç nokta, kullanıcı tarafından sağlanan uzak depo ve dal adını herhangi bir temizleme işlemi yapmadan `GIT_REMOTE` ve `GIT_BRANCH` yapılandırma anahtarlarına kaydeder. Daha sonra bu anahtarlar alınır ve bir format dizgesi kullanılarak doğrudan `runGit` fonksiyonuna iletilir. Bu nedenle, bir komutta `$()` interpolasyonu kullanılarak kod yürütme sağlanabilir. Versiyon 2.16.0, bu sorun için bir düzeltme içerir.