CVE-2026-96654

Media6.5 Pubblicata il 23 set 2026

Plex Media Server before 1.43.3.10861 does not correctly neutralize URL values included in 'searchOne,' allowing an attacker to call other plugins' functions and supply their own parameters.

Preallarme: sfruttamento osservato

Sfruttamento osservato dal 18 ott 2026
Non ancora nel catalogo ufficiale CISA
Primo attacco osservato 24 giorni dopo la divulgazione

Fonte: VulnCheck KEV · 18 ott 2026

Punteggio CVSS6.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Tipo di debolezza (CWE)CWE-84

Vendorplex

Prodotti coinvolti

Vendor	Prodotto	Versioni
plex	media server	< 1.43.0.10861

Exploit Plex2Shell pubblico usato per compromettere server Plex Media esposti a internet

Attaccanti hanno usato l'exploit Plex2Shell contro un honeypot Plex esposto, installando miner XMRig e proxy. Osservazione limitata a un server esca.

19 ott 202618:30 3 min di letturaLeggi

This product uses the NVD API but is not endorsed or certified by the NVD.

Database CVE