Kerngegevens
- Leverancier
- Plex
- Product
- Plex Media Server
- Soort software
- –
- Getroffen versies
- Plex Media Server tot 1.43.3.10861
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Plex Media Server 1.43.3.10861
- CVE gepubliceerd
- 23 september 2026
- Op de KEV-lijst sinds
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Plex Media Server zit een fout waarmee een aanvaller de server kan laten sturen naar een adres dat de aanvaller zelf kiest. Dit heet server-side request forgery (SSRF). Het gaat om het onderdeel '/player/timeline', waar je in de parameter 'protocol' een volledige URL kunt meegeven. De server voert dan een POST-verzoek uit naar die bestemming. Het lek staat sinds oktober 2026 op de lijst van actief misbruikte lekken en is onlangs aan die lijst toegevoegd.
Wie loopt risico?
Je loopt risico als je een Plex Media Server gebruikt met een versie ouder dan 1.43.3.10861 en de server via het netwerk bereikbaar is. Een aanvaller heeft wel een X-Plex-Token nodig, maar volgens de gegevens maakt het niet uit welke waarde dat is. Vooral servers die vanaf internet bereikbaar zijn, zijn daardoor interessant voor misbruik.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Plex Media Server je gebruikt. Alles ouder dan 1.43.3.10861 is getroffen.
Werk Plex Media Server bij
Installeer versie 1.43.3.10861, waarin dit lek is opgelost, of een nieuwere versie.
Beperk de bereikbaarheid
Stel de server niet onnodig bloot aan internet en laat hem alleen bereikbaar zijn voor apparaten en netwerken die dat nodig hebben.
Volg het advies van de leverancier
Gebruik de aanwijzingen van Plex voor aanvullende maatregelen. Is bijwerken niet mogelijk, overweeg dan het gebruik van het product te staken.
Dezelfde update lost meer lekken op
Plex Media Server 1.43.3.10861 verhelpt ook drie andere actief misbruikte lekken: code uitvoeren via de H264-transcoderoptie (CVE-2026-96656, https://lekkenradar.nl/cve/cve-2026-96656/), een URL-fout in searchOne (CVE-2026-96654, https://lekkenradar.nl/cve/cve-2026-96654/) en SSRF via het transcode-pad (CVE-2026-96655, https://lekkenradar.nl/cve/cve-2026-96655/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het eindpunt '/player/timeline' van Plex Media Server accepteert in de parameter 'protocol' een volledige URL en valideert die onvoldoende. De server doet daardoor een uitgaand POST-verzoek naar een door de aanvaller gekozen bestemming. Voor de aanval is authenticatie met een X-Plex-Token vereist, maar elke tokenwaarde blijkt voldoende. De aanval verloopt via het netwerk, zonder gebruikersinteractie en met lage complexiteit. Het gaat om CWE-918 (server-side request forgery). De CNA geeft een CVSS 4.0-score van 5,3, vooral door beperkte gevolgen voor de vertrouwelijkheid.
CVSS-vector (versie 4.0, basisscore 5,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-918 · Server-side request forgery (SSRF)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 20 oktober 2026
- Deadline van CISA
- 3 november 2026
- Gebruikt door ransomwaregroepen
- Niet bekend