Четыре уязвимости Plex Media Server: от SSRF до записи файлов с выполнением кода

Plex Media Server до версии 1.43.3.10861 уязвим к четырём отдельным проблемам: SSRF в обработчике timeline (CVE-2026-96652, CVSS 4.3), инъекции URL в searchOne без аутентификации (CVE-2026-96654, 6.5), SSRF через параметр пути транскодинга (CVE-2026-96655, 4.3) и записи произвольных файлов через TranscoderH264Options (CVE-2026-96656, 7.2). Последняя требует прав администратора, но позволяет выполнить код, так как сервер запускает .so-файлы без проверки подписи.

• CVE-2026-96656: запись файлов с CVSS 7.2, требует админ-доступа
• CVE-2026-96654: инъекция URL в searchOne без аутентификации, CVSS 6.5
• SSRF в timeline и транскодинге оценены в 4.3 каждый
• Исправление — Plex Media Server 1.43.3.10861 или новее