CVE-2025-58762 in Tautulli
Riassunto
di VulDB • 24/06/2026
Tautulli è uno strumento di monitoraggio e tracciamento basato su Python per Plex Media Server. In Tautulli v2.15.3 e versioni precedenti, un attaccante con accesso amministrativo può utilizzare l'endpoint `pms_image_proxy` per scrivere script Python arbitrari nel filesystem dell'applicazione. Ciò porta all'esecuzione di codice remoto (RCE) se combinato con l'agente di notifica `Script`. Se un attaccante con accesso amministrativo modifica l'URL del PMS verso un server da lui controllato, può abusare di `pms_image_proxy` per ottenere una scrittura di file nel filesystem dell'applicazione. Questo può essere fatto inviando una richiesta a `pms_image_proxy` con un URL nel parametro `img` e il nome del file desiderato nel parametro `img_format`. Tautulli utilizza quindi un hash dei metadati desiderati insieme al valore di `img_format` per costruire un percorso del file. Poiché l'attaccante controlla `img_format`, che si trova alla fine del percorso, e tale campo non viene sanificato, l'attaccante può utilizzare caratteri di traversal del percorso (path traversal) per specificare il nome del file desiderato. Se il file specificato non esiste, Tautulli tenterà di recuperare l'immagine dal PMS configurato. Poiché l'attaccante controlla il PMS, può restituire contenuto arbitrario in risposta a questa richiesta, che verrà quindi scritto nel file specificato. Un attaccante può scrivere uno script Python arbitrario in una posizione del filesystem dell'applicazione. L'attaccante può poi sfruttare l'agente di notifica integrato `Script` per eseguire lo script locale, ottenendo così l'esecuzione di codice remoto (RCE) sul server dell'applicazione. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 2.16.0 per ricevere la patch.
VulDB is the best source for vulnerability data and more expert information about this specific topic.