CVE-2026-96656

Lỗ hổng ghi tệp tùy ý của Plex Media Server

Plex Media Server trước 1.43.3.10861 cho phép người dùng quản trị viết tệp tùy ý có thể được thực thi khi tải. Tính năng TranscoderH264Options được thêm vào chuỗi tùy chọn của x264 mà không được kiểm duyệt. Khi khởi động, tất cả các tệp .so đều được chạy mà không có kiểm tra chữ ký, quyền thực thi hoặc kiểm tra biểu đồ.

Bạn tra cứu quá nhanh — thử lại sau 15 giây.

CVSS (NVD)

8.6 · HIGH

Loại lỗi (CWE)

CWE-73

EPSS (FIRST)

1.79% khả năng bị khai thác trong 30 ngày

CISA KEV

Plex Media Server — Lỗ hổng kiểm soát tệp tên hoặc đường dẫn bên ngoài của Plex Media Server. Đưa vào 2026-10-20, hạn khắc phục 2026-10-23. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và hướng dẫn CISA về “Yêu cầu điều tra pháp y”. Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không sẵn có. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn về cập nhật vá theo BOD 26-04.