CVE-2026-96651 in Media Server
Zusammenfassung
von VulDB • 23.09.2026
Plex Media Server vor Version 1.43.3.10861 erstellt einen Dateipfad aus dem URL-Parameter, ohne ihn auf ../-Sequenzen zu überprüfen, was eine Path Traversal über '/system/agents/media/get' ermöglicht. Ein entfernter Angreifer mit einem gültigen Session-Token kann jede Datei lesen, auf die der Zielbenutzer Zugriff hat. Dieser Zugriff umfasst den PlexOnlineToken, der Kontrolle über das Plex-Konto und den Server gewährt. Ein LAN-adjazenter Angreifer mit einem clientseitig bereitgestellten X-Forwarded-For-Header könnte dieselbe Schwachstelle ausnutzen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.