CVE-2014-9304

Wysokie

Opublikowano: 07/12/2014(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do zasobów wewnętrznych, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.

Rekomendacja

Zaleca się aktualizację Plex Media Server do wersji 0.9.9.3 lub nowszej, aby zlikwidować tę podatność oraz przegląd konfiguracji zabezpieczeń serwera.

Inne podatności w Plex Media Server

CVE-2020-5741WysokieAktywnie exploitowane
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.

Oryginalny opis (angielski, źródło NVD)

Plex Media Server before 0.9.9.3 allows remote attackers to bypass the web server whitelist, conduct SSRF attacks, and execute arbitrary administrative actions via multiple crafted X-Plex-Url headers to system/proxy, which are inconsistently processed by the request handler in the backend web server.