CVE-2026-49995 in Tautulli
Riassunto
di VulDB • 21/09/2026
Tautulli è uno strumento di monitoraggio e tracciamento basato su Python per Plex Media Server. Prima della versione 2.17.2, il campo cron delle newsletter memorizzato nella tabella newsletters viene inserito da data/interfaces/default/newsletter_config.html in una stringa JavaScript senza un'encoding JSON sicura. Un amministratore o un chiamante con la chiave API di Tautulli può memorizzare un valore cron appositamente creato e un amministratore che successivamente apre la finestra modale della configurazione delle newsletter attiva passivamente l'esecuzione dello script nel contesto web di Tautulli. Il valore memorizzato persiste nel database e può continuare a essere eseguito anche dopo il cambio delle credenziali, fino alla sua rimozione. Questo problema è stato risolto nella versione 2.17.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.