CVE-2026-96652
Plex Media Server SSRF
- प्रकाशित
- 23 सित॰ 2026
- अद्यतन
- 21 अक्टू॰ 2026
- सीएनए असाइन करना
- cisa-cg
- साक्ष्य देखे गए
- 19 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 78.6%
- मॉडल दिनांक
- 25 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Plex Media Server 1.43.3.10861 से पहले के संस्करणों में '/player/timeline' के माध्यम से SSRF की अनुमति है। कोई भी X-Plex-Token मान उपयोग करने वाला हमलावर 'protocol' पैरामीटर में एक पूर्ण URL शामिल कर सकता है और Plex सर्वर को हमलावर द्वारा चुने गए गंतव्य पर POST करने के लिए बाध्य कर सकता है।
स्रोत
- plex2shellएक्सप्लॉइट
CVE-2026-96652 CVE-2026-96654 CVE-2026-96655 CVE-2026-96656
- plex2shell_pcapपता लगाना
Plex के विरुद्ध plex2shell शोषण के पैकेट कैप्चर आर्टिफ़ैक्ट, जिनमें लैब और इन-द-वाइल्ड ट्रैफ़िक शामिल हैं, जो डिटेक्शन सिग्नेचर बनाने और सत्यापित करने के लिए हैं।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।