CVE-2025-69416
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać inne tokeny (przeznaczone do niezwiązanego dostępu) poprzez clients.plex.tv/devices.xml.
Ocena ryzyka
Atakujący z tokenem urządzenia niebędącego serwerem może uzyskać tokeny należące do innych kontekstów, co może umożliwić nieautoryzowany dostęp. Stanowi to naruszenie kontroli dostępu i poufności.
Rekomendacja
Ogranicz uprawnienia tokenów urządzeń niebędących serwerami w zakresie pobierania innych tokenów oraz monitoruj dostęp do clients.plex.tv/devices.xml. Wdróż poprawkę od Plex po jej udostępnieniu.
Inne podatności w Plex Media Server
Zobacz wszystkie- CVE-2014-9304Wysokie
Plex Media Server przed wersją 0.9.9.3 pozwala zdalnym atakującym na obejście białej listy serwera WWW, przeprowadzenie ataków SSRF oraz wykonanie dowolnych działań administracyjnych poprzez wielokrotne spreparowane nagłówki X-Plex-Url do system/proxy, które są niekonsekwentnie przetwarzane przez obsługę żądań w backendowym serwerze WWW.
- CVE-2020-5741WysokieAktywnie exploitowane
Deserializacja niezaufanych danych w Plex Media Server na Windows pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python.
- CVE-2026-96656Wysokie
Plex Media Server przed wersją 1.43.3.10861 pozwala użytkownikowi z uprawnieniami administratora na zapis dowolnych plików, które mogą być wykonane przy ładowaniu. Preferencja TranscoderH264Options jest dołączana dosłownie do ciągu opcji x264 przy każdym transkodowaniu. Przy starcie wszystkie pliki .so są uruchamiane bez sprawdzania podpisu, bitu wykonywalności ani symboli.
- CVE-2026-96655Średnie
Plex Media Server przed wersją 1.43.3.10861 umożliwia uwierzytelnionemu użytkownikowi żądanie dowolnych adresów wewnętrznych lub zewnętrznych za pomocą parametru ścieżki '/video/:/transcode/universal'.
- CVE-2026-96654Średnie
Plex Media Server przed wersją 1.43.3.10861 niepoprawnie neutralizuje wartości URL zawarte w 'searchOne', co pozwala atakującemu wywoływać funkcje innych wtyczek i podawać własne parametry.
- CVE-2026-96652Średnie
Plex Media Server przed wersją 1.43.3.10861 umożliwia SSRF przez '/player/timeline'. Atakujący z dowolnym tokenem X-Plex-Token może podać pełny URL w parametrze 'protocol' i wymusić na serwerze Plex wysłanie żądania POST do wybranego miejsca docelowego.
- CVE-2026-96651Średnie
Plex Media Server przed wersją 1.43.3.10861 buduje ścieżkę pliku z parametru url bez sprawdzania sekwencji '../', co umożliwia path traversal przez '/system/agents/media/get'. Zdalny atakujący z ważnym tokenem sesji może odczytać dowolny plik dostępny dla użytkownika docelowego, w tym PlexOnlineToken, który daje pełną kontrolę nad kontem i serwerem Plex.
- CVE-2025-69417Średnie
W backendzie plex.tv dla Plex Media Server (PMS) do 2025-12-31 token urządzenia niebędącego serwerem może pobrać tokeny udostępniania (przeznaczone do niezwiązanego dostępu) poprzez endpoint shared_servers.
Oryginalny opis (angielski, źródło NVD)
In the plex.tv backend for Plex Media Server (PMS) through 2025-12-31, a non-server device token can retrieve other tokens (intended for unrelated access) via clients.plex.tv/devices.xml.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS