🇰🇷 한글 설명
Tautulli 2.17.2 미만 버전에서 뉴스레터 cron 필드가 안전한 JSON 인코딩 없이 JavaScript 문자열에 삽입되는 취약점이 존재합니다. 관리자 또는 API 키를 가진 공격자가 조작된 cron 값을 저장하면, 이후 관리자가 설정 모달을 열 때 Tautulli 웹 컨텍스트에서 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
공격자가 특수한 코드를 뉴스레터 설정에 몰래 저장해두면, 관리자가 해당 설정을 확인하는 순간 악성 코드가 실행될 수 있는 보안 결함입니다. 이 코드는 데이터베이스에 저장되어 있어 관리자가 비밀번호를 바꿔도 계속 실행될 위험이 있습니다.
🇺🇸 원문 (English)
Tautulli is a Python based monitoring and tracking tool for Plex Media Server. Prior to 2.17.2, the newsletter cron field stored in the newsletters table is inserted by data/interfaces/default/newsletter_config.html into a JavaScript string without safe JSON encoding. An administrator or caller with the Tautulli API key can store a crafted cron value, and an administrator who later opens the newsletter configuration modal passively triggers script execution in the Tautulli web context. The stored value persists in the database and can continue to execute after credential rotation until it is removed. This issue is fixed in version 2.17.2.
📍 영향받는 시스템
Tautulli 2.17.2 미만 모든 버전
⚔️ 공격 벡터
API 키를 이용한 조작된 cron 값 저장 후 관리자의 웹 인터페이스 접근을 통한 Stored XSS
🛡️ 대응 방법
Tautulli를 최신 버전인 2.17.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.17.2 미만인 경우 해당 취약점에 노출된 상태입니다.
python3 -c "import tautulli; print(tautulli.__version__)" 2>/dev/null || echo 'Version check failed'