PT-2026-46259 · Tautulli · Tautulli

Larlarua · Publicado 2026-06-04 · Atualizado 2026-06-08 · CVE-2026-43986

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Tautulli versões anteriores a 2.17.1

Description O Tautulli contém um problema de Server-Side Request Forgery (SSRF) onde um endpoint público '/image/' resolve entradas de image hash lookup e as processa utilizando a mesma lógica de busca de imagem do lado do servidor que o proxy de imagem autenticado. Um usuário convidado de baixo privilégio pode inserir uma URL de imagem externa maliciosa na tabela de busca, permitindo que qualquer usuário externo não autenticado acione buscas do lado do servidor para uma URL arbitrária escolhida pelo invasor ao solicitar '/image/.png'. SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualizar para a versão 2.17.1.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-43986

Produtos afetados

Tautulli

Referências · 4

• 🔥 https://github.com/Tautulli/Tautulli/security/advisories/GHSA-m6j6-rc2c-8vpm · Exploit
• https://github.com/Tautulli/Tautulli/releases/tag/v2.17.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-43986 · Nota de Segurança
• https://twitter.com/HugoValters/status/2063803951183712744 · Publicação no Twitter