CVE-2026-49995
Açıklama
Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. 2.17.2 sürümünden önce, newsletters tablosunda saklanan newsletter cron alanı, data/interfaces/default/newsletter_config.html tarafından güvenli JSON kodlaması yapılmadan bir JavaScript dizesine eklenmektedir. Bir yönetici veya Tautulli API anahtarına sahip bir çağrıcı, özel olarak hazırlanmış bir cron değeri saklayabilir ve daha sonra newsletter yapılandırma modalını açan bir yönetici, Tautulli web bağlamında pasif olarak betik çalıştırılmasını tetikler. Saklanan değer veritabanında kalır ve kaldırılana kadar kimlik bilgileri döndürüldükten sonra da çalışmaya devam edebilir. Bu sorun 2.17.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tautulli Tautulli | < 2.17.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.