Kerngegevens
- Leverancier
- Plex
- Product
- Plex Media Server
- Soort software
- –
- Getroffen versies
- Plex Media Server tot 1.43.3.10861
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Plex Media Server 1.43.3.10861
- CVE gepubliceerd
- 23 september 2026
- Op de KEV-lijst sinds
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Plex Media Server zit een fout waarbij de server door een ingelogde gebruiker kan worden aangezet om verzoeken te sturen naar willekeurige interne of externe adressen. Dit gaat via het pad '/video/:/transcode/universal'. Dit soort fout heet server-side request forgery (SSRF). Het lek staat sinds oktober 2026 op de lijst van actief misbruikte lekken en is onlangs aan die lijst toegevoegd.
Wie loopt risico?
Je loopt risico als je Plex Media Server gebruikt met een versie ouder dan 1.43.3.10861. Een aanvaller heeft wel een account op de server nodig, maar kan het lek via het netwerk uitbuiten. Vooral servers die bereikbaar zijn vanaf internet, of waar meerdere mensen een account hebben, zijn kwetsbaar. Via de server kunnen ook adressen binnen je eigen netwerk worden benaderd.
Wat moet je doen?
Werk Plex Media Server bij
Installeer versie 1.43.3.10861 of nieuwer. In die versie is het lek opgelost.
Controleer je versie
Kijk in de instellingen van je server welke versie draait en ga na of je ouder bent dan 1.43.3.10861.
Beperk de toegang tot je server
Laat je Plex-server niet onnodig bereikbaar zijn vanaf internet en geef alleen accounts toegang aan mensen die je vertrouwt.
Controleer op verdachte activiteit
Kijk of er ongebruikelijke accounts of vreemde verzoeken in de logboeken staan, vooral als je server vanaf internet bereikbaar was.
Dezelfde update lost meer lekken op
Plex Media Server 1.43.3.10861 verhelpt ook drie andere actief misbruikte lekken: code uitvoeren via de H264-transcoderoptie (CVE-2026-96656, https://lekkenradar.nl/cve/cve-2026-96656/), een URL-fout in searchOne (CVE-2026-96654, https://lekkenradar.nl/cve/cve-2026-96654/) en SSRF via /player/timeline (CVE-2026-96652, https://lekkenradar.nl/cve/cve-2026-96652/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een server-side request forgery (CWE-918) in het pad '/video/:/transcode/universal' van Plex Media Server. Een geauthenticeerde gebruiker kan via een parameter in dit pad de server laten verzoeken doen naar willekeurige interne of externe adressen. De aanvalsroute is het netwerk, de aanvalscomplexiteit is laag en er is geen interactie van een andere gebruiker nodig. De CVSS 4.0-score is 5,3 (middel), met een beperkte impact op de vertrouwelijkheid. Versies tot 1.43.3.10861 zijn getroffen, de oplossing zit in 1.43.3.10861.
CVSS-vector (versie 4.0, basisscore 5,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-918 · Server-side request forgery (SSRF)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 20 oktober 2026
- Deadline van CISA
- 3 november 2026
- Gebruikt door ransomwaregroepen
- Niet bekend