Kerngegevens
- Leverancier
- Plex
- Product
- Plex Media Server
- Soort software
- –
- Getroffen versies
- Plex Media Server tot 1.43.3.10861
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Plex Media Server 1.43.3.10861
- CVE gepubliceerd
- 23 september 2026
- Op de KEV-lijst sinds
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Plex Media Server controleert URL-waarden in de functie 'searchOne' niet goed. Daardoor kan een aanvaller functies van andere plugins aanroepen en daar eigen parameters aan meegeven. Het lek is recent aan de lijst van actief misbruikte lekken (KEV) toegevoegd. De ernst is middel (6,9).
Wie loopt risico?
Je loopt risico als je een Plex Media Server draait met een versie ouder dan 1.43.3.10861. De aanval verloopt via het netwerk, vereist geen inloggegevens en geen handeling van een gebruiker. Vooral servers die vanaf internet bereikbaar zijn, zijn daardoor aantrekkelijk om aan te vallen. Dat het lek actief wordt misbruikt, betekent dat het in de praktijk wordt gebruikt.
Wat moet je doen?
Werk Plex Media Server bij
Installeer versie 1.43.3.10861 of nieuwer. In deze versie is het lek opgelost.
Controleer welke servers je hebt
Ga na op welke apparaten Plex Media Server draait, bijvoorbeeld een NAS, een thuisserver of een virtuele machine. Kijk bij elk daarvan welke versie is geïnstalleerd.
Beperk blootstelling aan internet
Controleer of je server direct bereikbaar is vanaf internet. Is dat niet nodig, sluit die toegang dan af of zet de server achter een firewall of VPN, zeker zolang je nog niet hebt bijgewerkt.
Volg het advies van de leverancier
CISA adviseert maatregelen te nemen volgens de instructies van de leverancier. Kun je die maatregelen niet toepassen, dan is het advies het product niet meer te gebruiken.
Dezelfde update lost meer lekken op
Plex Media Server 1.43.3.10861 verhelpt ook drie andere actief misbruikte lekken: code uitvoeren via de H264-transcoderoptie (CVE-2026-96656, https://lekkenradar.nl/cve/cve-2026-96656/), SSRF via /player/timeline (CVE-2026-96652, https://lekkenradar.nl/cve/cve-2026-96652/) en SSRF via het transcode-pad (CVE-2026-96655, https://lekkenradar.nl/cve/cve-2026-96655/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In Plex Media Server vóór versie 1.43.3.10861 worden URL-waarden die in 'searchOne' worden gebruikt niet correct geneutraliseerd. Een aanvaller kan hierdoor functies van andere plugins aanroepen en daarbij zelf gekozen parameters meesturen. De aanval is op afstand uit te voeren via het netwerk, met lage complexiteit, zonder authenticatie en zonder gebruikersinteractie. De CVSS 4.0-vector geeft een lage impact op vertrouwelijkheid en integriteit van het getroffen systeem en geen impact op beschikbaarheid. Het lek is ingedeeld als CWE-84 en staat sinds oktober 2026 op de KEV-lijst van CISA.
CVSS-vector (versie 4.0, basisscore 6,9, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-84 · Onjuiste neutralisatie van gecodeerde URI-schema's in een webpagina
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 20 oktober 2026
- Deadline van CISA
- 23 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend