CVE-2026-96655

CVE-2026-96655 betrifft Plex Media Server vor Version 1.43.3.10861. Es handelt sich um eine Schwachstelle, die einem authentifizierten Benutzer erlaubt, über den Pfadparameter '/video/:/transcode/universal' beliebige interne oder externe Adressen anzufordern. Dies kann zu SSRF (Server-Side Request Forgery) führen, wodurch interne Systeme potenziell exponiert werden. Die Schwachstelle wird aktiv ausgenutzt und ist im CISA KEV Katalog gelistet. Trotz eines CVSS-Scores von 4.3 (MEDIUM) ist die aktive Ausnutzung ein klares Indiz für die Dringlichkeit. Die EPSS-Wahrscheinlichkeit von 0% ist hier irreführend, da die Schwachstelle bereits in freier Wildbahn beobachtet wurde. Security-Teams sollten umgehend alle Instanzen von Plex Media Server auf Version 1.43.3.10861 oder höher aktualisieren. Eine schnelle Patch-Bereitstellung ist aufgrund der aktiven Ausnutzung kritisch, um das Risiko einer Kompromittierung zu minimieren. Zusätzliches Monitoring auf ungewöhnliche Netzwerkaktivitäten kann ebenfalls ratsam sein.