Vulnerabilidad de suplantación de solicitudes del lado del servidor (SSRF) en Plex Media Server

Qué pasó

Plex Media Server contiene una falla de falsificación de solicitud en el lado del servidor (SSRF) que podría permitir a un usuario autenticado solicitar direcciones internas o externas arbitrarias a través del parámetro de ruta '/video/:/transcode/universal'. Esta falla se puede encadenar con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656.

Texto original: Plex Media Server contains a server-side request forgery (SSRF) vulnerability that could allow an authenticated user to request arbitrary internal or external addresses via the '/video/:/transcode/universal' path parameter. This vulnerability can be chained with CVE-2026-96652, CVE-2026-96654, and CVE-2026-96656.

Qué hacer

Instala la corrección que publicó Plex para Media Server. Si aún no existe, aplica sus medidas temporales o deja de usar el producto. CISA da a las agencias de EE. UU. hasta el 3 de noviembre de 2026 para hacerlo.

Datos

Gravedad

Alta

Tipo

Vulnerabilidad

Identificador

CVE-2026-96655

Probabilidad de ataque

11 % en los próximos 30 días (EPSS, FIRST.org)

Fecha límite de CISA

3 de noviembre de 2026 (para agencias de EE. UU.)

Publicada por la fuente

20 de octubre de 2026

Vista por primera vez

13 de noviembre de 2026 a las 11:49 a.m. (hora de México)

Etiquetas

Plex Media Server

Fuente

CISA Known Exploited Vulnerabilities · Dominio público (EE. UU.)