Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.
CVE-2026-96652 viene sfruttato?
Inserito nel catalogo CISA KEV il 2026-10-20.
Scadenza di remediation federale: 2026-11-03.
Oltre quella data da 3 giorni.
EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 12%.
Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.
Esistono regole di detection pubbliche.
Quali prodotti e versioni sono interessati?
Plex · Media Server · >= 0, < 1.43.3.10861
Esiste una patch?
Sì. Aggiorna a una di queste versioni o successive: