CVE-2026-96652

Lỗ hổng SSRF của PLEX Media Server

Plex Media Server trước 1.43.3.10861 cho phép SSRF thông qua '/player/timeline'. Một kẻ tấn công có thể sử dụng bất kỳ giá trị X-Plex-Token nào để bao gồm một URL đầy đủ trong tham số 'protocol' và ép buộc server Plex thực hiện POST đến địa điểm mà kẻ tấn công đã chọn.

Bạn tra cứu quá nhanh — thử lại sau 31 giây.

CVSS (NVD)

5.3 · MEDIUM

Loại lỗi (CWE)

CWE-918

EPSS (FIRST)

11.89% khả năng bị khai thác trong 30 ngày

CISA KEV

Plex Media Server — Lỗ hổng Server-Side Request Forgery (SSRF) của PLEX Media Server. Đưa vào 2026-10-20, hạn khắc phục 2026-11-03. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và hướng dẫn CISA về 'Forensics Triage Requirements' (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá sự phơi bày internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn về cập nhật vá của BOD 26-04.