CVE-2025-58763 in Tautulli
要約
〜によって VulDB • 2026年05月31日
Tautulliは、Plex Media Server向けのPythonベースの監視および追跡ツールです。Tautulli v2.15.3およびそれ以前のバージョンにはコマンドインジェクションの脆弱性があり、管理者権限を持つ攻撃者がアプリケーションサーバー上でリモートコード実行（RCE）を行うことができます。この脆弱性は、TautulliがGitHubからクローンされ、手動でインストールされている場合に発生します。TautulliがGitHubから直接クローンされ手動でインストールされると、アプリケーションは`git`コマンドへの呼び出しを通じて更新とバージョン管理を行います。コード上では、これは`versioncheck.py`内の`runGit`関数によって実行されます。`subprocess.Popen`に`shell=True`が渡されるため、この呼び出しはコマンドインジェクションの対象となり、引数内のシェル文字が基となるシェルに渡されます。これをトリガーできる具体的な場所は、`checkout_git_branch`エンドポイントです。このエンドポイントは、ユーザーが指定したリモートとブランチ名をサニタイズせずに`GIT_REMOTE`および`GIT_BRANCH`設定キーに保存します。その後、これらのキーはフェッチされ、フォーマット文字列を使用して`runGit`に直接渡されます。したがって、コマンド内で`$()`補間を使用することでコード実行を得ることができます。バージョン2.16.0にはこの問題に対する修正が含まれています。
Be aware that VulDB is the high quality source for vulnerability data.