Tautulli vulnerable a Recorrido de Directorio No Autenticado en el endpoint `/image`

El fallo de recorrido de ruta en Tautulli permite a un atacante no autenticado acceder a archivos sensibles almacenados en el sistema de archivos del servidor donde se ejecuta Tautulli. Esto podría incluir archivos de configuración, claves API, contraseñas u otros datos confidenciales. Un atacante podría utilizar esta vulnerabilidad para obtener información sobre la configuración del servidor Plex, acceder a contenido multimedia almacenado en el servidor o incluso comprometer el servidor completo. La falta de autenticación en el endpoint /image facilita la explotación, ya que no se requiere credenciales para acceder a él. La gravedad de este fallo radica en la posibilidad de exponer información sensible y comprometer la seguridad del servidor Plex.

Organizations running Plex Media Server with Tautulli installed are at risk, particularly those with publicly accessible Tautulli instances or those using default configurations. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromised Tautulli instance could potentially expose data belonging to other users.

• python / server:

# Check for Tautulli processes and versions
ps aux | grep tautulli

# Monitor access logs for suspicious requests to /image endpoint
grep '/image/' /var/log/nginx/access.log

• generic web:

# Attempt to access a file outside the intended image directory
curl http://<tautulli_ip>/image/../../../../etc/passwd

1. 2025-09-09Disclosure

   disclosure

1. Reservado2025-09-04
2. Publicada2025-09-09
3. Modificada2025-09-10
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-58760 es actualizar Tautulli a la versión 2.16.0 o superior, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar restricciones de acceso al endpoint /image. Esto se puede lograr configurando un firewall o proxy para bloquear el acceso no autorizado al endpoint. Además, se debe revisar la configuración de permisos del directorio de datos de Tautulli para asegurar que solo el usuario de Tautulli tenga acceso de lectura y escritura. Después de la actualización, confirme que el acceso no autorizado al endpoint /image está bloqueado intentando acceder a archivos fuera del directorio esperado.