CVE-2025-58761 in Tautulli
Zusammenfassung
von VulDB • 23.05.2026
Tautulli ist ein auf Python basierendes Überwachungs- und Tracking-Tool für den Plex Media Server. Der Endpunkt `real_pms_image_proxy` in Tautulli v2.15.3 und früheren Versionen ist anfällig für Path Traversal, wodurch nicht authentifizierte Angreifer beliebige Dateien aus dem Dateisystem des Anwendungsservers lesen können. Der `real_pms_image_proxy` wird verwendet, um ein Bild direkt vom zugrunde liegenden Plex Media Server abzurufen. Das abzurufende Bild wird über einen URL-Parameter `img` angegeben, der entweder eine URL oder ein Dateipfad sein kann. Es gibt einige Validierungen, die sicherstellen, dass `img` mit dem Präfix `interfaces/default/images` beginnt, um es vom lokalen Dateisystem aus zu bedienen. Dies kann jedoch umgangen werden, indem ein `img`-Parameter übergeben wird, der mit einem gültigen Präfix beginnt, und anschließend Path-Traversal-Zeichen angehängt werden, um Dateien außerhalb der beabsichtigten Verzeichnisse zu erreichen. Ein Angreifer kann Dateien auf dem Anwendungsdateisystem ausspähen, einschließlich der SQLite-Datenbank `tautulli.db`, die aktive JWT-Tokens enthält, sowie der Datei `config.ini`, die das gehashte Admin-Passwort, das JWT-Token-Geheimnis und die Plex Media Server-Token- und Verbindungsdetails enthält. Wenn das Passwort geknackt wird oder wenn ein gültiges JWT-Token in der Datenbank vorhanden ist, kann ein nicht authentifizierter Angreifer seine Rechte eskalieren, um administrative Kontrolle über die Anwendung zu erlangen. Version 2.16.0 enthält eine Korrektur für das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.