CVE-2026-96652
Vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no Plex Media Server
O Plex Media Server contém uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) que poderia permitir que um atacante, utilizando qualquer valor de X-Plex-Token, inclua uma URL completa no parâmetro 'protocol' e force o servidor Plex a enviar uma requisição POST para o destino escolhido pelo atacante. Esta vulnerabilidade pode ser encadeada com CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.
Traduzido automaticamente do inglês.
Prazo CISA: 3 de nov. de 2026
- Plex Media Server
- Moderada
- CVSS 5.3
- EPSS 0,46%
- Versão corrigida informada
O que fazer
Versão corrigida informada
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Prazo da CISA para agências federais dos EUA
- 3 de nov. de 2026
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Plex Media Server | antes de 1.43.3.10861 | 1.43.3.10861 |
Notas e sinais
- Exploração
- Explorada ativamente
- Gravidade
- Moderada, CVSS 5.3 (v4.0, pontuado por cisa-cg)
- EPSS
- 0,46% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: ativa. Automatizável: não. Impacto técnico: parcial. Em 20 de out. de 2026.
- Fraqueza
- CWE-918: Server-Side Request Forgery (SSRF)
- Fabricante
- Plex, Media Server
Linha do tempo
- Incluída no catálogo de vulnerabilidades exploradas da CISA: exploração ativa confirmada. Agências federais dos EUA devem corrigir até 2026-11-03.