Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.

Indice de priorité CheckOps

3,4/10 Corriger sous 7 jours

Gravité5,3

Probabilité0,2

Exploitation2/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 1,8 % plus haute que 78,8 % des CVE

CVSS 4.0 5,3 AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/

Exploitée depuis 14 jours 20/10/2026

Échéance CISA 03/11/2026 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 2 / 5

Catalogue KEV (CISA)20/10/2026
EUVD exploitée (ENISA)20/10/2026
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %1,8 %
Sans compte, par le réseaunon

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Produits touchés

Media Server

Versions touchées

0 <1.43.3.10861

Faiblesses (CWE)

CWE-918

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

23/09/2026
Publication
20/10/2026
Exploitation signalée (ENISA)
20/10/2026
Ajout au catalogue KEV
03/11/2026
Échéance de correction CISA

Références

Autres failles exploitées du même éditeur

CVE-2026-96656Plex Media Server External Control of File Name or Path Vulnerability
4,7 · Montée rapide
CVE-2026-96655Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability
3,4 · Montée rapide
CVE-2026-96654Plex Media Server Improper Neutralization of Encoded URI Schemes in a Web Page Vulnerability
4,6 · Montée rapide
CVE-2020-5741Plex Media Server Remote Code Execution Vulnerability
6,9 · Exploitation de fond