Aktywnie wykorzystywana w atakach
Plex Media Server External Control of File Name or Path Vulnerability
Plex - Media Server · Figuruje w katalogu CISA KEV od 2026-10-20. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-96656
WysokieCVSS 7.2KEVPrawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Plex Media Server przed wersją 1.43.3.10861 pozwala użytkownikowi z uprawnieniami administratora na zapis dowolnych plików, które mogą być wykonane przy ładowaniu. Preferencja TranscoderH264Options jest dołączana dosłownie do ciągu opcji x264 przy każdym transkodowaniu. Przy starcie wszystkie pliki .so są uruchamiane bez sprawdzania podpisu, bitu wykonywalności ani symboli.
Ocena ryzyka
Ryzyko wykonania dowolnego kodu przez administratora, co może prowadzić do pełnej kompromitacji serwera Plex i systemu.
Rekomendacja
Zaktualizuj Plex Media Server do wersji 1.43.3.10861 lub nowszej. Ogranicz zaufanie do administratorów i monitoruj pliki .so.
Inne podatności w Plex Media Server
Zobacz wszystkie- CVE-2014-9304Wysokie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.
- CVE-2026-96655ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia uwierzytelnionemu użytkownikowi żądanie dowolnych adresów wewnętrznych lub zewnętrznych za pomocą parametru ścieżki '/video/:/transcode/universal'.
- CVE-2026-96654ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 niepoprawnie neutralizuje wartości URL zawarte w 'searchOne', co pozwala atakującemu wywoływać funkcje innych wtyczek i podawać własne parametry.
- CVE-2026-96652ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia SSRF przez '/player/timeline'. Atakujący z dowolnym tokenem X-Plex-Token może podać pełny URL w parametrze 'protocol' i wymusić na serwerze Plex wysłanie żądania POST do wybranego miejsca docelowego.
- CVE-2020-5741WysokieAktywnie exploitowane
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.
- CVE-2026-96651Średnie
Plex Media Server przed wersją 1.43.3.10861 buduje ścieżkę pliku z parametru url bez sprawdzania sekwencji '../', co umożliwia path traversal przez '/system/agents/media/get'. Zdalny atakujący z ważnym tokenem sesji może odczytać dowolny plik dostępny dla użytkownika docelowego, w tym PlexOnlineToken, który daje pełną kontrolę nad kontem i serwerem Plex.
- CVE-2025-69417Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać tokeny udostępniania (przeznaczone do niezwiązanego dostępu) poprzez endpoint shared_servers.
- CVE-2025-69416Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać inne tokeny (przeznaczone do niezwiązanego dostępu) poprzez clients.plex.tv/devices.xml.
Oryginalny opis (angielski, źródło NVD)
Plex Media Server before 1.43.3.10861 allows an admin user to write arbitrary files that may be executed on load. The preference TranscoderH264Options is appended verbatim to x264's option string on every transcode. At startup, all .so files are run without signature, execute bit, or symbol checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS