CVE-2026-96655

Lỗ hổng SSRF chủ động địa chỉ của Plex Media Server

Plex Media Server trước 1.43.3.10861 cho phép người dùng đã đăng nhập yêu cầu địa chỉ nội bộ hoặc ngoại bộ tùy ý thông qua tham số đường dẫn '/video/:/transcode/universal'.

Bạn tra cứu quá nhanh — thử lại sau 23 giây.

CVSS (NVD)

5.3 · MEDIUM

Loại lỗi (CWE)

CWE-918

EPSS (FIRST)

10.72% khả năng bị khai thác trong 30 ngày

CISA KEV

Plex Media Server — Lỗ hổng Server-Side Request Forgery (SSRF) của Plex Media Server. Đưa vào 2026-10-20, hạn khắc phục 2026-11-03. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra triệt để của CISA (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá sự phơi bày Internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật của BOD 26-04.