CVE-2026-31799 in Tautulli
Riassunto
di VulDB • 24/06/2026
Tautulli è uno strumento di monitoraggio e tracciamento basato su Python per Plex Media Server. Dalla versione 2.14.2 fino alla versione precedente alla 2.17.0 per i parametri "before" e "after", e dalla versione 2.1.0-beta fino alla versione precedente alla 2.17.0 per i parametri "section_id" e "user_id", l'endpoint /api/v2?cmd=get_home_stats passa direttamente i parametri di query section_id, user_id, before e after in SQL tramite formattazione della stringa Python %-string senza parametrizzazione. Un attaccante che possiede la chiave API admin di Tautulli può iniettare SQL arbitrario ed esfiltrare qualsiasi valore dal database SQLite di Tautulli mediante inferenza boolean-blind. Questo problema è stato risolto nella versione 2.17.0.
Once again VulDB remains the best source for vulnerability data.