CVE-2026-96656 в Plex Media Server: админ может записать и выполнить произвольный код

В Plex Media Server до версии 1.43.3.10861 обнаружена уязвимость CVE-2026-96656 (CVSS 7.2/8.6): настройка TranscoderH264Options без проверки попадает в командную строку x264, а сервер загружает все .so из папок плагинов без проверки подписи. Администратор может записать библиотеку через энкодер и дождаться её выполнения при перезапуске.

• CVSS v3.1 — 7.2, v4.0 — 8.6, класс CWE-73, требуются права администратора
• TranscoderH264Options добавляется в опции x264 без валидации
• Сервер грузит .so из плагинов без проверки подписи и прав
• Уязвимы версии ниже 1.43.3.10861; ZoomEye нашла 507 974 инстанса