CVE-2025-58760 in Tautulli
الملخص
بحسب VulDB • 10/07/2026
Tautulli هو أداة مراقبة وتتبع مبنية على Python لخادم Plex Media Server. نقطة نهاية واجهة برمجة التطبيقات `/image` في Tautulli الإصدار 2.15.3 والإصدارات الأقدم تعاني من ثغرة عبور المسار (Path Traversal)، مما يسمح للمهاجمين غير المصادق عليهم بقراءة ملفات عشوائية من نظام الملفات الخاص بخادم التطبيق. في Tautulli، تُستخدم نقطة نهاية واجهة برمجة التطبيقات `/image` لتقديم الصور الثابتة من دليل بيانات التطبيق للمستخدمين. يمكن الوصول إلى هذه النقطة دون مصادقة، والغرض المقصود منها هو صور الخلفية والأيقونات الخاصة بواجهة المستخدم. يمكن للمهاجمين استخراج ملفات من نظام الملفات للتطبيق، بما في ذلك قاعدة البيانات SQLite `tautulli.db` التي تحتوي على رموز JWT النشطة، وكذلك ملف `config.ini` الذي يحتوي على كلمة مرور المسؤول المشفرة (hashed)، وسر رمز JWT، وتفاصيل الاتصال ورمز خادم Plex Media Server. إذا تم كسر كلمة المرور أو إذا كان هناك رمز JWT صالح موجود في قاعدة البيانات، يمكن لمهاجم غير مصادق عليه ترقية صلاحياته للحصول على السيطرة الإدارية الكاملة على التطبيق. يحتوي الإصدار 2.16.0 على إصلاح لهذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.