CVE-2014-9304
WysokieStreszczenie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do zasobów wewnętrznych, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację Plex Media Server do wersji 0.9.9.3 lub nowszej, aby zlikwidować tę podatność oraz przegląd konfiguracji zabezpieczeń serwera.
Inne podatności w Plex Media Server
Zobacz wszystkie- CVE-2026-96656WysokieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 pozwala użytkownikowi z uprawnieniami administratora na zapis dowolnych plików, które mogą być wykonane przy ładowaniu. Preferencja TranscoderH264Options jest dołączana dosłownie do ciągu opcji x264 przy każdym transkodowaniu. Przy starcie wszystkie pliki .so są uruchamiane bez sprawdzania podpisu, bitu wykonywalności ani symboli.
- CVE-2026-96655ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia uwierzytelnionemu użytkownikowi żądanie dowolnych adresów wewnętrznych lub zewnętrznych za pomocą parametru ścieżki '/video/:/transcode/universal'.
- CVE-2026-96654ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 niepoprawnie neutralizuje wartości URL zawarte w 'searchOne', co pozwala atakującemu wywoływać funkcje innych wtyczek i podawać własne parametry.
- CVE-2026-96652ŚrednieAktywnie exploitowane
Plex Media Server przed wersją 1.43.3.10861 umożliwia SSRF przez '/player/timeline'. Atakujący z dowolnym tokenem X-Plex-Token może podać pełny URL w parametrze 'protocol' i wymusić na serwerze Plex wysłanie żądania POST do wybranego miejsca docelowego.
- CVE-2020-5741WysokieAktywnie exploitowane
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.
- CVE-2026-96651Średnie
Plex Media Server przed wersją 1.43.3.10861 buduje ścieżkę pliku z parametru url bez sprawdzania sekwencji '../', co umożliwia path traversal przez '/system/agents/media/get'. Zdalny atakujący z ważnym tokenem sesji może odczytać dowolny plik dostępny dla użytkownika docelowego, w tym PlexOnlineToken, który daje pełną kontrolę nad kontem i serwerem Plex.
- CVE-2025-69417Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać tokeny udostępniania (przeznaczone do niezwiązanego dostępu) poprzez endpoint shared_servers.
- CVE-2025-69416Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać inne tokeny (przeznaczone do niezwiązanego dostępu) poprzez clients.plex.tv/devices.xml.
Oryginalny opis (angielski, źródło NVD)
Plex Media Server before 0.9.9.3 allows remote attackers to bypass the web server whitelist, conduct SSRF attacks, and execute arbitrary administrative actions via multiple crafted X-Plex-Url headers to system/proxy, which are inconsistently processed by the request handler in the backend web server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS