Aktywnie wykorzystywana w atakach

Plex Media Server Remote Code Execution Vulnerability

Plex - Media Server · Figuruje w katalogu CISA KEV od 2023-03-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2020-5741

WysokieCVSS 7.2KEV

Opublikowano: 08/05/2020(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.

Ocena ryzyka

Uwierzytelniony atakujący może zdalnie wykonać dowolny kod Python na serwerze, co może prowadzić do przejęcia kontroli nad systemem i dostępu do wrażliwych danych.

Rekomendacja

Zaktualizuj Plex Media Server do najnowszej wersji, która zawiera poprawkę tej podatności, oraz ogranicz dostęp do serwera tylko do zaufanych użytkowników.

Inne podatności w Plex Media Server

CVE-2014-9304Wysokie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.

Oryginalny opis (angielski, źródło NVD)

Deserialization of Untrusted Data in Plex Media Server on Windows allows a remote, authenticated attacker to execute arbitrary Python code.