CVE-2026-96652

Mittel4.3 Veröffentlicht am 23.09.2026

Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.

Frühwarnung: Ausnutzung beobachtet

Ausnutzung beobachtet seit dem 18.10.2026
Noch nicht im offiziellen CISA-Katalog
Erster Angriff 24 Tage nach der Veröffentlichung beobachtet

Quelle: VulnCheck KEV · 18.10.2026

CVSS-Score4.3 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Schwachstellentyp (CWE)CWE-918

Herstellerplex

Betroffene Produkte

Hersteller	Produkt	Versionen
plex	media server	< 1.43.0.10861

Öffentlicher Plex2Shell-Exploit wird zur Kompromittierung exponierter Plex Media Server genutzt

Beobachtung an Honeypot zeigt Nutzung von Plex2Shell gegen exponierte Plex Media Server mit Miner und Proxy-Software laut Forscher.

19.10.202618:30 3 Min. LesezeitLesen

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE-Datenbank