🇰🇷 한글 설명
Tautulli 2.17.2 미만 버전에서 /search 엔드포인트의 쿼리 매개변수가 JavaScript 문자열 내에 부적절하게 이스케이프되어 발생하는 취약점입니다. 공격자가 백슬래시를 이용해 문자열을 종료시키면, 인증된 사용자가 조작된 링크를 클릭할 경우 Tautulli 웹 컨텍스트에서 임의의 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 검색창 기능을 악용하여 악성 코드를 심는 방식의 공격입니다. 사용자가 특수하게 만들어진 링크를 클릭하기만 해도 해커가 원하는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
Tautulli is a Python based monitoring and tracking tool for Plex Media Server. Prior to 2.17.2, the /search endpoint inserts its user-controlled query parameter into a JavaScript string in data/interfaces/default/search.html using manual escaping that handles quotes and slashes but not backslashes. A backslash-quote sequence can terminate the string, so an unauthenticated attacker can send a crafted link that executes script in the Tautulli web context when an authenticated user follows it. This issue is fixed in version 2.17.2.
📍 영향받는 시스템
Tautulli 2.17.2 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 공격자가 제작한 악성 JavaScript 포함 링크를 클릭하도록 유도하는 방식 (Stored/Reflected XSS)
🛡️ 대응 방법
Tautulli를 최신 버전인 2.17.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.17.2보다 낮은지 확인하십시오.
python3 -c 'import tautulli; print(tautulli.__version__)' 2>/dev/null || curl -s http://localhost:8181/api/v1/version | grep -oP "(?<=version":")[^"]+"