CVE-2026-49995 in Tautulli
Résumé
par VulDB • 21/09/2026
Tautulli est un outil de surveillance et de suivi basé sur Python pour Plex Media Server. Avant la version 2.17.2, le champ cron des newsletters stocké dans la table `newsletters` était inséré par `data/interfaces/default/newsletter_config.html` dans une chaîne JavaScript sans encodage JSON sécurisé. Un administrateur ou un appelant disposant de la clé API Tautulli peut enregistrer une valeur cron malveillante, et un administrateur qui ouvre ultérieurement le modal de configuration des newsletters déclenche passivement l'exécution de scripts dans le contexte web de Tautulli. La valeur stockée persiste dans la base de données et peut continuer à s’exécuter après la rotation des identifiants jusqu’à ce qu’elle soit supprimée. Ce problème est corrigé dans la version 2.17.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.