CVE-2026-43985
Açıklama
Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. 2.17.1 öncesindeki sürümler, `configUpdate` kısmını durum değiştiren bir yönetici uç noktası olarak sunmaktadır ancak rota `POST` yöntemini zorunlu kılmamakta ve herhangi bir anti-CSRF belirteci kullanmamaktadır. Varsayılan form ve JWT tabanlı kimlik doğrulama modunda, yönetici oturum çerezi `SameSite=Lax` ile düzenlenir; bu da üst düzey siteler arası gezinme isteklerine izin vermeye devam eder. Bir saldırgan, oturumu açık olan bir yöneticiyi, `/configUpdate` adresine siteler arası bir istek gönderen ve yerel yönetici kullanıcı adını ve şifresini üzerine yazan kötü amaçlı bir sayfaya çekerek bunu istismar edebilir. Saldırgan daha sonra seçilen kimlik bilgileriyle doğrudan giriş yapabilir ve Tautulli yönetim arayüzünü ele geçirebilir. Sürüm 2.17.1 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tautulli Tautulli | < 2.17.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.