CVE-2026-96654
Vulnerabilidade de neutralização inadequada de esquemas de URI codificados em uma página web no Plex Media Server
Plex Media Server contém uma vulnerabilidade de neutralização inadequada de esquemas de URI codificados em uma página web que poderia permitir que um atacante chame funções de outros plugins e forneça seus próprios parâmetros. Essa vulnerabilidade pode ser encadeada com CVE-2026-96652, CVE-2026-96655 e CVE-2026-96656.
Traduzido automaticamente do inglês.
Prazo CISA: 23 de out. de 2026
- Plex Media Server
- Moderada
- CVSS 6.9
- EPSS 0,47%
- Versão corrigida informada
O que fazer
Versão corrigida informada
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Prazo da CISA para agências federais dos EUA
- 23 de out. de 2026
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Plex Media Server | antes de 1.43.3.10861 | 1.43.3.10861 |
Notas e sinais
- Exploração
- Explorada ativamente
- Gravidade
- Moderada, CVSS 6.9 (v4.0, pontuado por cisa-cg)
- EPSS
- 0,47% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: ativa. Automatizável: sim. Impacto técnico: parcial. Em 20 de out. de 2026.
- Fraqueza
- CWE-84: Improper Neutralization of Encoded URI Schemes in a Web Page
- Fabricante
- Plex, Media Server
Linha do tempo
- Incluída no catálogo de vulnerabilidades exploradas da CISA: exploração ativa confirmada. Agências federais dos EUA devem corrigir até 2026-10-23.