CVE-2026-96652

CVE-2026-96652 betrifft den Plex Media Server vor Version 1.43.3.10861 und ermöglicht eine Server-Side Request Forgery (SSRF) über den '/player/timeline'-Endpunkt. Ein Angreifer kann mittels eines beliebigen X-Plex-Tokens eine vollständige URL im 'protocol'-Parameter einschleusen, wodurch der Plex-Server gezwungen wird, Daten an ein vom Angreifer gewähltes Ziel zu senden. Dies kann zur Offenlegung sensibler Informationen oder zur Ausführung unerwünschter Aktionen führen. Die Schwachstelle wird als "MEDIUM" mit einem CVSS-Score von 4.3 eingestuft, jedoch ist sie in CISA's Known Exploited Vulnerabilities (KEV) Katalog gelistet, was bedeutet, dass sie aktiv ausgenutzt wird. Trotz einer niedrigen EPSS-Wahrscheinlichkeit von 0% ist die aktive Ausnutzung ein starker Indikator für die Dringlichkeit und das reale Risiko. SecBoard empfiehlt dringend, alle betroffenen Plex Media Server-Instanzen umgehend auf Version 1.43.3.10861 oder höher zu aktualisieren. Da die Schwachstelle aktiv ausgenutzt wird, ist eine schnelle Patch-Implementierung entscheidend, um potenzielle Angriffe zu verhindern und die Sicherheit der Systeme zu gewährleisten.