plex2shell

Cadeia de RCE não autenticada para Plex Media Server < 1.43.3.10828. Corrigido em 1.43.3.10861. Atualize o quanto antes.

CVSS 3.1: 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Write-up: https://zmain.info/blog/plex2shell

Aviso legal

Esta ferramenta é publicada apenas para testes de segurança autorizados, pesquisa acadêmica e fins defensivos. Use-a somente contra sistemas que você possui ou para os quais tem permissão escrita explícita para testar. Os autores não se responsabilizam por uso indevido ou danos causados por esta ferramenta. O acesso não autorizado a sistemas de computador é ilegal.

CVEs

CVE	Primitiva
CVE-2026-96652	SSRF não autenticada via /player/timeline protocol=
CVE-2026-96654	Pivô de loopback: guarda de autenticação morta + injeção em searchOne identifier=
CVE-2026-96655	SSRF do transcoder autenticado como owner + escrita de arquivo em caminho arbitrário (dump-yuv)
CVE-2026-96656	Execução de código via dlopen de codec não assinado no set-dir de Codecs

Pré-requisitos

• Python 3.8+, ffmpeg, gcc (ou x86_64-w64-mingw32-gcc para alvos Windows)
• Host atacante acessível a partir do alvo (busca de mídia + reverse shell)

Licença

GPLv3