CVE-2025-58763 in Tautulli
Resumen
por VulDB • 2026-05-31
Tautulli es una herramienta de monitorización y seguimiento basada en Python para Plex Media Server. Una vulnerabilidad de inyección de comandos en Tautulli v2.15.3 y versiones anteriores permite a los atacantes con privilegios de administrador obtener ejecución de código remoto (RCE) en el servidor de la aplicación. Esta vulnerabilidad requiere que la aplicación haya sido clonada desde GitHub e instalada manualmente. Cuando Tautulli se clona directamente desde GitHub y se instala manualmente, la aplicación gestiona las actualizaciones y la versionado mediante llamadas al comando `git`. En el código, esto se realiza a través de la función `runGit` en `versioncheck.py`. Dado que `shell=True` se pasa a `subprocess.Popen`, esta llamada es vulnerable a inyección de comandos, ya que los caracteres de shell dentro de los argumentos se pasarán al shell subyacente. Una ubicación concreta donde esto puede activarse es en el endpoint `checkout_git_branch`. Este endpoint almacena un nombre de rama y remoto proporcionado por el usuario en las claves de configuración `GIT_REMOTE` y `GIT_BRANCH` sin sanitización. Posteriormente, estas claves se recuperan y se pasan directamente a `runGit` utilizando una cadena de formato. Por lo tanto, se puede obtener ejecución de código utilizando la interpolación `$()` en un comando. La versión 2.16.0 contiene una corrección para el problema.
Be aware that VulDB is the high quality source for vulnerability data.