Aktywnie wykorzystywana w atakach
Plex Media Server Remote Code Execution Vulnerability
Plex - Media Server · Figuruje w katalogu CISA KEV od 2023-03-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-5741
WysokieCVSS 7.2KEVStreszczenie
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.
Ocena ryzyka
Uwierzytelniony atakujący może zdalnie wykonać dowolny kod Python na serwerze, co może prowadzić do przejęcia kontroli nad systemem i dostępu do wrażliwych danych.
Rekomendacja
Zaktualizuj Plex Media Server do najnowszej wersji, która zawiera poprawkę tej podatności, oraz ogranicz dostęp do serwera tylko do zaufanych użytkowników.
Inne podatności w Plex Media Server
Zobacz wszystkie- CVE-2014-9304Wysokie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.
- CVE-2026-96656WysokieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 pozwala użytkownikowi z uprawnieniami administratora na zapis dowolnych plików, które mogą być wykonane przy ładowaniu. Preferencja TranscoderH264Options jest dołączana dosłownie do ciągu opcji x264 przy każdym transkodowaniu. Przy starcie wszystkie pliki .so są uruchamiane bez sprawdzania podpisu, bitu wykonywalności ani symboli.
- CVE-2026-96655ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia uwierzytelnionemu użytkownikowi żądanie dowolnych adresów wewnętrznych lub zewnętrznych za pomocą parametru ścieżki '/video/:/transcode/universal'.
- CVE-2026-96654ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 niepoprawnie neutralizuje wartości URL zawarte w 'searchOne', co pozwala atakującemu wywoływać funkcje innych wtyczek i podawać własne parametry.
- CVE-2026-96652ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia SSRF przez '/player/timeline'. Atakujący z dowolnym tokenem X-Plex-Token może podać pełny URL w parametrze 'protocol' i wymusić na serwerze Plex wysłanie żądania POST do wybranego miejsca docelowego.
- CVE-2026-96651Średnie
Plex Media Server przed wersją 1.43.3.10861 buduje ścieżkę pliku z parametru url bez sprawdzania sekwencji '../', co umożliwia path traversal przez '/system/agents/media/get'. Zdalny atakujący z ważnym tokenem sesji może odczytać dowolny plik dostępny dla użytkownika docelowego, w tym PlexOnlineToken, który daje pełną kontrolę nad kontem i serwerem Plex.
- CVE-2025-69417Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać tokeny udostępniania (przeznaczone do niezwiązanego dostępu) poprzez endpoint shared_servers.
- CVE-2025-69416Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać inne tokeny (przeznaczone do niezwiązanego dostępu) poprzez clients.plex.tv/devices.xml.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data in Plex Media Server on Windows allows a remote, authenticated attacker to execute arbitrary Python code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS