CVE-2026-96654: Plex Media Server searchOne URL enjeksiyonu, 1.43.3.10861 öncesinde plugin çağrılarını açığa çıkarıyor

Plex, Plex Media Server'daki, kimliği doğrulanmamış bir saldırganın ürünün searchOne uç noktası üzerinden URL enjekte etmesini ve bunu kendi seçtiği parametrelerle plugin işlevlerini çağırmak için kullanmasını sağlayan bir açığı yamaladı. CVE-2026-96654 olarak takip edilen bu sorun 1.43.3.10861 öncesi sürümleri etkiliyor ve dev.to analizine göre, aynı sürümde yamalanan üç başka tanımlayıcıyla aynı fix sürümünü paylaşıyor ve aynı kümedeki bir server-side request forgery sorunundan yalnızca bir adım uzakta yer alıyor.

Enjeksiyon nasıl çalışıyor

dev.to yazısına göre searchOne, bir sağlayıcıyı işaret eden bir URL kabul eden ve bunu plugin koduna ileten bir arama uç noktası. Değer hiçbir zaman izin verilen şema ve host'lardan oluşan bir allowlist ile kontrol edilmediği için, hazırlanmış bir URL, çağıran tarafın tamamen kontrol ettiği parametrelerle plugin dispatcher'ına ulaşıyor. Resmi kaydın ifade biçimi burada önemli: diğer plugin'lerin işlevlerini çağırabilme yeteneği, saldırganın isteğin nominal olarak hedeflediği plugin ile sınırlı olmadığı anlamına geliyor. Sömürünün tek koşulları, erişilebilir bir HTTP arayüzü ve uç noktanın yaptığı ayrıştırma işleminden sağlam çıkan bir istek.

Önem derecesi ve etki

CVE numaralandırma otoritesi hatayı CWE-84, yani bir web sayfasında kodlanmış URI şemalarının uygunsuz şekilde etkisizleştirilmesi olarak sınıflandırıyor. CVSS v3.1 temel puanı AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N vektörüyle 6.5 ve CVSS v4.0 puanı 6.9. Tüm yetki ve etkileşim alanları, kullanıcı etkileşimi gerektirmeyen, kimliği doğrulanmamış, uzaktan erişilebilir bir giriş noktasına işaret ediyor. dev.to'nun aktardığına göre CISA'nın SSVC kaydı, sömürülmüş olarak "yok" bildiriyor ancak sorunu otomatikleştirilebilir olarak işaretliyor.

Gizlilik ve bütünlük her ikisi de düşük derecelendirilmiş, kullanılabilirlik etkisi ise yok. Yazıya göre pratik sonuç, arama yolundan erişilebilir olması hiç amaçlanmamış plugin işlevlerini tetikleyebilen bir saldırgan; bu da plugin'in erişimi olan meta verileri ifşa edebilir veya plugin'in yönettiği durumu değiştirebilir.

Etkilenen sürümler ve maruziyet

1.43.3.10861 altındaki tüm Plex Media Server sürümleri etkileniyor ve 1.43.3.10861 düzeltilmiş sürüm. Etki yarıçapı, hangi plugin'lerin kurulu olduğuna bağlı, çünkü açıklık sabit bir iç hizmeti değil plugin işlevlerini ortaya çıkarıyor.

Bağlam olması açısından dev.to, yazının yazıldığı sırada Plex Media Server için yapılan bir ZoomEye sorgusunun 507.974 eşleşme döndürdüğünü bildiriyor; bu, savunmasız kurulumların değil, ürünün ne kadar yaygın dağıtıldığının bir ölçüsü. CVE tanımlayıcılarının kendilerine göre filtrelenen sorgular eşleşme döndürmedi, dolayısıyla ürün sayısı yalnızca arka plan bilgisi olarak ele alınmalı.

Yama ve azaltma

Birincil çözüm 1.43.3.10861 veya sonrasına güncellemek. Yükseltme hemen yapılamıyorsa, yazı şu önerileri sunuyor: kullanılmayan plugin'leri kaldırmak veya devre dışı bırakmak, çünkü her plugin enjekte edilmiş bir çağrının ulaşabileceği işlevler ekliyor; ayrıca sunucunun önüne, mutlak URL taşıyan arama isteklerini reddeden bir proxy kuralı yerleştirmek. Yükseltmeden sonra yöneticiler, kurulu plugin envanterini sunucunun gerçekten ihtiyaç duyduklarıyla karşılaştırmalı.

Neden önemli

Bu CVE'deki özelliklerin birleşimi onu dikkat gerektiren bir sorun yapıyor: ağdan erişilebilir, yetki gerektirmiyor, kullanıcı etkileşimi yok ve CISA'nın SSVC süreci altında otomatikleştirilebilir olarak derecelendirilmiş. Bu açıklık, sabit bir iç hizmete doğrudan erişim vermek yerine, plugin yüzeyinin kendisini saldırı yüzeyine dönüştürüyor; dolayısıyla kurulu plugin sayısı arttıkça saldırganın potansiyel olarak çağırabileceği işlevler de artıyor. Medya sunucuları sık sık sürekli açık ev makinelerinde çalışıyor ve yarım milyon internete açık örnek, potansiyel olarak yamalanmamış hedeflerden oluşan geniş bir havuza işaret ediyor. Giderim önerileri ayrıca plugin tabanlı mimariler için daha geniş bir ders içeriyor: plugin envanterini küçültmek, zaten yamalanmış sistemlerde bile faydalı bir derinlemesine savunma önlemidir.