CVE-2026-96654 в Plex Media Server: инъекция URL в searchOne

В Plex Media Server до версии 1.43.3.10861 обнаружена уязвимость CVE-2026-96654: параметр searchOne не проверяет URL, что позволяет неаутентифицированному атакующему вызывать функции других плагинов со своими параметрами. CVSS 6.5, исправление — обновление до 1.43.3.10861.

• CVSS v3.1 — 6.5, v4.0 — 6.9, эксплуатируется удалённо без аутентификации
• Уязвимы сборки Plex Media Server ниже 1.43.3.10861
• Атака затрагивает только установленные плагины и их функции
• ZoomEye насчитала 507 974 хоста с Plex Media Server