PT-2026-46248 · Plex+1 · Plex Media Server+1
Remindsec
·
Publicado
2026-06-04
·
Atualizado
2026-06-04
·
CVE-2026-41065
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Tautulli versões anteriores a 2.17.1
Description
Tautulli é uma ferramenta de monitoramento e rastreamento baseada em Python para o Plex Media Server. O software permite a execução remota de código por meio do recurso de diretório de modelo personalizado de newsletter. Em uma instalação nova, onde o assistente de configuração ainda não foi concluído, todos os endpoints de gerenciamento não possuem autenticação. Um invasor pode criar um agente de newsletter, direcionar o diretório de modelo personalizado para um compartilhamento SMB controlado pelo invasor que sirva um modelo Mako (uma biblioteca de modelos para Python) malicioso e disparar a execução via endpoint de renderização de newsletter, sem a necessidade de credenciais ou acesso local ao sistema. Em instalações onde as credenciais foram configuradas, essa sequência pode ser explorada por qualquer administrador.
Recommendations
Atualizar para a versão 2.17.1.
Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Plex Media Server
Tautulli