Vulnerabilidad de suplantación de solicitudes del lado del servidor (SSRF) en Plex Media Server

Qué pasó

Plex Media Server contiene una falla de falsificación de solicitud en el lado del servidor (SSRF) que podría permitir a un atacante que utilice cualquier valor de X-Plex-Token incluir una URL completa en el parámetro 'protocol' y forzar al servidor de Plex a enviar una solicitud POST al destino elegido por el atacante. Esta falla se puede encadenar con CVE-2026-96654, CVE-2…

Texto original: Plex Media Server contains a server-side request forgery (SSRF) vulnerability which could allow an attacker using any X-Plex-Token value to include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination. This vulnerability can be chained with CVE-2026-96654, CVE-2…

Qué hacer

Instala la corrección que publicó Plex para Media Server. Si aún no existe, aplica sus medidas temporales o deja de usar el producto. CISA da a las agencias de EE. UU. hasta el 3 de noviembre de 2026 para hacerlo.

Datos

Gravedad

Alta

Tipo

Vulnerabilidad

Identificador

CVE-2026-96652

Probabilidad de ataque

12 % en los próximos 30 días (EPSS, FIRST.org)

Fecha límite de CISA

3 de noviembre de 2026 (para agencias de EE. UU.)

Publicada por la fuente

20 de octubre de 2026

Vista por primera vez

13 de noviembre de 2026 a las 11:49 a.m. (hora de México)

Etiquetas

Plex Media Server

Fuente

CISA Known Exploited Vulnerabilities · Dominio público (EE. UU.)