CVE-2026-49995 in Tautulli
Zusammenfassung
von VulDB • 21.09.2026
Tautulli ist ein auf Python basierendes Überwachungs- und Tracking-Tool für den Plex Media Server. Vor Version 2.17.2 wird das im Newsletter-Cron-Feld der newsletters-Tabelle gespeicherte Datenfeld von data/interfaces/default/newsletter_config.html in einen JavaScript-String eingefügt, ohne eine sichere JSON-Kodierung durchzuführen. Ein Administrator oder ein Aufrufer mit dem Tautulli-API-Schlüssel kann einen speziell konstruierten Cron-Wert speichern, und ein Administrator, der später das Newsletter-Konfigurationsmodal öffnet, löst passiv die Skriptausführung im Tautulli-Webkontext aus. Der gespeicherte Wert bleibt in der Datenbank erhalten und kann auch nach einer Änderung der Anmeldeinformationen weiterhin ausgeführt werden, bis er entfernt wird. Dieses Problem wurde in Version 2.17.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.