CVE-2026-43984
Açıklama
Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. 2.17.1 öncesindeki sürümler, misafir erişimi etkinleştirildiğinde misafir kullanıcılar da dahil olmak üzere tüm kimliği doğrulanmış kullanıcılara `log_js_errors` uç noktasını açık hale getirmektedir. Bu uç nokta, saldırgan tarafından kontrol edilen dizgileri doğrudan ana uygulama günlüğüne yazar. Yalnızca yöneticilere özel olan `logFile` görünümü daha sonra bu günlük dosyasını okur ve herhangi bir kaçış işlemi yapmadan HTML yanıtına gömer. Bu durum, düşük yetkili bir misafirin günlük dosyasına HTML veya JavaScript enjekte edebildiği ve günlük görüntüleyici açıldığında bunun bir yöneticinin tarayıcısında çalıştırıldığı saklı bir siteler arası betik çalıştırma (XSS) koşulu oluşturur. Sürüm 2.17.1 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tautulli Tautulli | < 2.17.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.