CVE-2026-96652

Moyenne4.3 Publiée le 23 sept. 2026

Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.

Alerte précoce : exploitation observée

Exploitation observée depuis le 18 oct. 2026
Pas encore dans le catalogue officiel de la CISA
Première attaque observée 24 jours après la divulgation

Source : VulnCheck KEV · 18 oct. 2026

Score CVSS4.3 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Type de faiblesse (CWE)CWE-918

Éditeursplex

Produits concernés

Éditeurs	Produit	Versions
plex	media server	< 1.43.0.10861

Articles liés

Vulnérabilités

Exploit public Plex2Shell utilisé pour compromettre des serveurs Plex Media Server exposés

Un honeypot Plex exposé a subi l'exploit public Plex2Shell, avec installation d'un mineur XMRig et d'un proxy myawesomeproxy selon le chercheur.

19 oct. 202618:30 4 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE