Aktywnie wykorzystywana w atakach
Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability
Plex - Media Server · Figuruje w katalogu CISA KEV od 2026-10-20. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-96652
ŚrednieCVSS 4.3KEVPrawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Plex Media Server przed wersją 1.43.3.10861 umożliwia SSRF przez '/player/timeline'. Atakujący z dowolnym tokenem X-Plex-Token może podać pełny URL w parametrze 'protocol' i wymusić na serwerze Plex wysłanie żądania POST do wybranego miejsca docelowego.
Ocena ryzyka
SSRF może być wykorzystany do skanowania wewnętrznej sieci, dostępu do usług metadanych lub przeprowadzenia ataków DoS.
Rekomendacja
Zaktualizuj Plex Media Server do wersji 1.43.3.10861 lub nowszej oraz waliduj parametry URL.
Inne podatności w Plex Media Server
Zobacz wszystkie- CVE-2014-9304Wysokie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.
- CVE-2026-96656WysokieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 pozwala użytkownikowi z uprawnieniami administratora na zapis dowolnych plików, które mogą być wykonane przy ładowaniu. Preferencja TranscoderH264Options jest dołączana dosłownie do ciągu opcji x264 przy każdym transkodowaniu. Przy starcie wszystkie pliki .so są uruchamiane bez sprawdzania podpisu, bitu wykonywalności ani symboli.
- CVE-2026-96655ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia uwierzytelnionemu użytkownikowi żądanie dowolnych adresów wewnętrznych lub zewnętrznych za pomocą parametru ścieżki '/video/:/transcode/universal'.
- CVE-2026-96654ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 niepoprawnie neutralizuje wartości URL zawarte w 'searchOne', co pozwala atakującemu wywoływać funkcje innych wtyczek i podawać własne parametry.
- CVE-2020-5741WysokieAktywnie exploitowane
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.
- CVE-2026-96651Średnie
Plex Media Server przed wersją 1.43.3.10861 buduje ścieżkę pliku z parametru url bez sprawdzania sekwencji '../', co umożliwia path traversal przez '/system/agents/media/get'. Zdalny atakujący z ważnym tokenem sesji może odczytać dowolny plik dostępny dla użytkownika docelowego, w tym PlexOnlineToken, który daje pełną kontrolę nad kontem i serwerem Plex.
- CVE-2025-69417Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać tokeny udostępniania (przeznaczone do niezwiązanego dostępu) poprzez endpoint shared_servers.
- CVE-2025-69416Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać inne tokeny (przeznaczone do niezwiązanego dostępu) poprzez clients.plex.tv/devices.xml.
Oryginalny opis (angielski, źródło NVD)
Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS