← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Plex activement exploitées (KEV)

Les 5 vulnérabilités Plex dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-96656 — Plex Media Server : contrôle externe du nom ou du chemin de fichier

  • Produit : Plex Media Server
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 23 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-73
  • Gravité : CVSS 8,6 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de contrôle externe du nom ou du chemin de fichier qui peut permettre à un utilisateur administrateur d'écrire des fichiers arbitraires qui peuvent être exécutés au chargement. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96655.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96655 — Plex Media Server : vulnérabilité de falsification de requêtes côté serveur (SSRF)

  • Produit : Plex Media Server
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 3 novembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-918
  • Gravité : CVSS 5,3 (moyenne)
  • Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à un utilisateur authentifié de demander des adresses internes ou externes arbitraires via le paramètre de chemin '/video/:/transcode/universal'. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96654 — Plex Media Server : vulnérabilité de neutralisation incorrecte des schémas URI encodés dans une page web

  • Produit : Plex Media Server
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 23 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-84
  • Gravité : CVSS 6,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de neutralisation incorrecte des schémas URI encodés dans une page web qui pourrait permettre à un attaquant d'appeler les fonctions d'autres plugins et de fournir ses propres paramètres. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96655 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96652 — Plex Media Server : vulnérabilité de falsification de requêtes côté serveur (SSRF)

  • Produit : Plex Media Server
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 3 novembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-918
  • Gravité : CVSS 5,3 (moyenne)
  • Probabilité d’exploitation (EPSS) : 12 %

Plex Media Server contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à un attaquant utilisant n'importe quelle valeur X-Plex-Token d'inclure une URL complète dans le paramètre 'protocol' et de forcer le serveur Plex à effectuer une requête POST vers la destination choisie par l'attaquant. Cette vulnérabilité peut être enchaînée avec CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2020-5741 — Plex Media Server : exécution de code à distance

  • Produit : Plex Media Server
  • Ajoutée au catalogue : 10 mars 2023
  • Échéance CISA : 31 mars 2023
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 7,2 (élevée)
  • Probabilité d’exploitation (EPSS) : 73 %

Plex Media Server contient une vulnérabilité d'exécution de code à distance qui permet à un attaquant ayant accès au compte administrateur du serveur Plex de téléverser un fichier malveillant via la fonctionnalité Camera Upload et de faire exécuter ce fichier par le serveur média.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · forums.plex.tv

← Retour au suivi KEV · télécharger tout le catalogue (CSV)