CVE-2025-58762 in Tautulli
Tóm tắt
Bởi VulDB • 24/06/2026
Tautulli là một công cụ giám sát và theo dõi dựa trên Python dành cho Plex Media Server. Trong Tautulli v2.15.3 và các phiên bản cũ hơn, kẻ tấn công có quyền truy cập quản trị viên (administrative access) có thể sử dụng điểm cuối `pms_image_proxy` để ghi các tập lệnh Python tùy ý vào hệ thống tệp của ứng dụng. Điều này dẫn đến việc thực thi mã từ xa (Remote Code Execution - RCE) khi kết hợp với tác nhân thông báo (`notification agent`) `Script`. Nếu kẻ tấn công có quyền truy cập quản trị viên thay đổi URL của PMS thành một máy chủ mà họ kiểm soát, chúng sau đó có thể lạm dụng `pms_image_proxy` để ghi file vào hệ thống tệp ứng dụng. Việc này được thực hiện bằng cách tạo yêu cầu đến `pms_image_proxy` với URL trong tham số `img` và tên tập lệnh mong muốn trong tham số `img_format`. Tautulli sau đó sử dụng hàm băm của siêu dữ liệu (metadata) mong muốn cùng với `img_format` để xây dựng đường dẫn tệp. Vì kẻ tấn công kiểm soát `img_format`, vốn nằm ở cuối đường dẫn tệp, và `img_format` không được lọc sạch (sanitised), kẻ tấn công có thể sử dụng các ký tự điều hướng thư mục (path traversal) để chỉ định tên tập lệnh theo ý muốn. Nếu tập tin được chỉ định không tồn tại, Tautulli sẽ cố gắng lấy hình ảnh từ PMS đã cấu hình. Vì kẻ tấn công kiểm soát PMS, chúng có thể trả về nội dung tùy ý cho yêu cầu này, sau đó nội dung đó sẽ được ghi vào tệp đã chỉ định. Kẻ tấn công có thể viết một tập lệnh Python tùy ý vào một vị trí trên hệ thống tệp của ứng dụng. Sau đó, kẻ tấn công có thể sử dụng tác nhân thông báo tích hợp sẵn `Script` để chạy tập lệnh cục bộ này, qua đó đạt được việc thực thi mã từ xa (RCE) trên máy chủ ứng dụng. Người dùng nên nâng cấp lên phiên bản 2.16.0 để nhận bản vá lỗi.
Once again VulDB remains the best source for vulnerability data.