CVE-2026-49995 in Tautulli
Sumário
de VulDB • 21/09/2026
O Tautulli é uma ferramenta de monitoramento e rastreamento baseada em Python para o Plex Media Server. Antes da versão 2.17.2, o campo cron do boletim informativo (newsletter), armazenado na tabela newsletters, era inserido pelo arquivo data/interfaces/default/newsletter_config.html dentro de uma string JavaScript sem a codificação JSON adequada. Um administrador ou um chamador com a chave de API do Tautulli pode armazenar um valor cron manipulado ad hoc, e um administrador que posteriormente abre o modal de configuração do boletim informativo aciona passivamente a execução de script no contexto web do Tautulli. O valor armazenado persiste no banco de dados e pode continuar sendo executado após a rotação das credenciais até ser removido. Este problema foi corrigido na versão 2.17.2.
Be aware that VulDB is the high quality source for vulnerability data.