🇰🇷 한글 설명
Tautulli 2.17.1 미만 버전에서 인증된 사용자(게스트 포함)가 로그 파일에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 존재합니다. 공격자가 조작한 문자열이 로그에 기록되면, 관리자가 로그 뷰어를 열 때 해당 스크립트가 관리자의 브라우저에서 실행될 수 있습니다.
💡 쉬운 설명
로그 기록 기능에 몰래 악성 코드를 심어두는 방식입니다. 관리자가 나중에 로그를 확인하는 순간, 심어둔 코드가 실행되어 관리자의 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Tautulli is a Python based monitoring and tracking tool for Plex Media Server. Versions prior to 2.17.1 expose `log_js_errors` to any authenticated user, including guest users when guest access is enabled. The endpoint writes attacker-controlled strings directly into the main application log. The administrator-only `logFile` view then reads that log file and embeds it into an HTML response without escaping. This creates a stored cross-site scripting condition where a low-privilege guest can inject HTML or JavaScript into the log file and have it execute in an administrator's browser when the log viewer is opened. Version 2.17.1 patches the issue.
📍 영향받는 시스템
Tautulli versions prior to 2.17.1
⚔️ 공격 벡터
인증된 사용자가 log_js_errors 엔드포인트를 통해 로그 파일에 악성 HTML/JavaScript 주입
🛡️ 대응 방법
Tautulli를 최신 버전인 2.17.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.17.1 미만인지 확인하십시오.
python3 -c "import tautulli; print(tautulli.__version__)" 2>/dev/null || echo 'Version check failed'