CVE-2026-96654

Media6.5 Publicada el 23 sept 2026

Plex Media Server before 1.43.3.10861 does not correctly neutralize URL values included in 'searchOne,' allowing an attacker to call other plugins' functions and supply their own parameters.

Preaviso: explotación observada

Explotación observada desde el 18 oct 2026
Todavía no está en el catálogo oficial de CISA
Primer ataque observado 24 días después de la divulgación

Fuente: VulnCheck KEV · 18 oct 2026

Puntuación CVSS6.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Tipo de debilidad (CWE)CWE-84

Fabricantesplex

Productos afectados

Fabricantes	Producto	Versiones
plex	media server	< 1.43.0.10861

Exploit público de Plex2Shell usado para comprometer servidores Plex Media expuestos

Exploit público Plex2Shell usado contra un señuelo de Plex Media Server para instalar un minero XMRig y un software proxy.

19 oct 202618:30 3 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de datos CVE