CVE-2026-96655: Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

Severity: medium (CVSS 4.3 v3.1)
Exploited in the wild: yes — in CISA KEV since 2026-10-20
EPSS: 1.6% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-09-23 · updated 2026-10-21
Weakness: CWE-918

Description

Plex Media Server before 1.43.3.10861 allows an authenticated user to request arbitrary internal or external addresses via the '/video/:/transcode/universal' path parameter.

Summary

Plex Media Server before 1.43.3.10861 contains a server-side request forgery flaw: an authenticated user can make the server request arbitrary internal or external addresses through the '/video/:/transcode/universal' path parameter. This can expose internal services or be used as a pivot, though the CVSS score is only 4.3 (medium). CISA lists it as actively exploited in the Known Exploited Vulnerabilities catalog, so treat it as urgent despite the low score. Upgrade to 1.43.3.10861 or later; if you cannot patch, apply vendor mitigations or discontinue use, and follow CISA BOD 26-04 guidance.

تحتوي إصدارات Plex Media Server الأقدم من 1.43.3.10861 على ثغرة تزوير طلبات من جانب الخادم (SSRF)، إذ يستطيع مستخدم مُصادَق عليه إجبار الخادم على طلب عناوين داخلية أو خارجية عشوائية عبر معامل المسار '/video/:/transcode/universal'. قد يؤدي ذلك إلى كشف خدمات داخلية أو استخدام الخادم كنقطة انطلاق، رغم أن درجة CVSS منخفضة (4.3). تُدرج CISA الثغرة في كتالوج الثغرات المعروفة باستغلالها النشط، لذا يجب التعامل معها كأولوية عالية. الحل هو الترقية إلى الإصدار 1.43.3.10861 أو أحدث، وفي حال تعذّر الترقية تُطبَّق إجراءات التخفيف الموصى بها من المورّد أو يُوقف استخدام المنتج، مع اتباع إرشادات CISA BOD 26-04.

Affected products

Plex Media Server: before 1.43.3.10861 — fixed in 1.43.3.10861

How to fix

Upgrade to a fixed version: Plex Media Server 1.43.3.10861. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2026-96655 or the next vulnerability affects your stack