CVE-2026-52835
Açıklama
Tautulli, Plex Media Server için Python tabanlı bir izleme ve takip aracıdır. 2.17.2 sürümünden önce, plexpy/webserve.py dosyasındaki import_config işleyicisi ve import_database fonksiyonunun database_file dalı; saldırgan tarafından kontrol edilen config_file.filename veya database_file.filename değerlerini, basename azaltımı veya bir kapsama kontrolü yapmaksızın doğrudan CACHE_DIR ile birleştirir. Bir yönetici veya örnek API anahtarına sahip olan çağrıcı, üst dizin segmentleri içeren çok parçalı (multipart) bir dosya adı göndererek, dosya içeriği doğrulaması çalışmadan önce yüklemenin CACHE_DIR dışında oluşturulmasına veya üzerine yazılmasına neden olabilir. Yazma işlemi Tautulli sürecine izin verilen yollarla sınırlıdır ancak yapılandırmanın kurcalanmasına, hizmet kesintisine veya kod yürütülmesine olanak tanıyabilir. Bu sorun 2.17.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tautulli Tautulli | < 2.17.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.