CVE-2026-96655: falha de média gravidade em Plex Media Server
Plex Media Server arbitrary-host SSRF
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
O Plex Media Server tem uma falha que permite a um usuário autenticado fazer o servidor acessar endereços internos ou externos arbitrários. Isso pode ser usado para alcançar serviços que o usuário não deveria acessar.
Versões do Plex Media Server anteriores à 1.43.3.10861 são vulneráveis a Server-Side Request Forgery (CWE-918) através do parâmetro de caminho '/video/:/transcode/universal'. Um usuário autenticado pode fazer o servidor emitir requisições para hosts internos ou externos arbitrários, com CVSS 5.3 (MEDIUM). O impacto descrito está limitado à exposição de informações e ao acesso a recursos da rede interna alcançáveis a partir do servidor; a descrição não traz mais detalhes.
No mesmo produto, das mais perigosas para as menos.