CVE-2026-96652

Media4.3 Publicada el 23 sept 2026

Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.

Preaviso: explotación observada

Explotación observada desde el 18 oct 2026
Todavía no está en el catálogo oficial de CISA
Primer ataque observado 24 días después de la divulgación

Fuente: VulnCheck KEV · 18 oct 2026

Puntuación CVSS4.3 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Tipo de debilidad (CWE)CWE-918

Fabricantesplex

Productos afectados

Fabricantes	Producto	Versiones
plex	media server	< 1.43.0.10861

Exploit público de Plex2Shell usado para comprometer servidores Plex Media expuestos

Exploit público Plex2Shell usado contra un señuelo de Plex Media Server para instalar un minero XMRig y un software proxy.

19 oct 202618:30 3 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de datos CVE