Plex Media Server 未认证 RCE 漏洞链被公开披露

研究者 torutofu 公开披露了 Plex Media Server 的一条未认证远程代码执行漏洞链（涉及 CVE-2026-96652 等）。据其披露，攻击链从 /player/timeline 的 SSRF 入手，经 loopback 插件 API 注入窃取 owner 管理员 token，再借转码器与 x264 的 dump-yuv 选项写入恶意 .so 并执行。 该漏洞通过 Plex 的安全项目上报，公开披露时间为 2026 年 10 月 16 日。上述攻击路径与影响为披露者所述，报道未说明 Plex 的修复状态或受影响版本范围。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。