Plex Media Server'da dosya adı veya yolu kontrolü zafiyeti

Özet: CISA, Plex Media Server’da aktif olarak istismar edilen bir dosya adı veya yolu kontrolü zafiyeti (CVE-2026-96656) hakkında uyarı yayınladı. Bu zafiyet, yönetici yetkisine sahip bir kullanıcının rastgele dosyalar yazmasına ve bunların yükleme sırasında çalıştırılmasına olanak tanıyor.

Plex Media Server’da, dışarıdan dosya adı veya yolu kontrolüne izin veren kritik bir güvenlik açığı (CVE-2026-96656) tespit edildi. Bu zafiyet, CISA’nın KEV kataloğunda yer alıyor ve aktif olarak istismar edildiği belirtiliyor. Bu durum, Plex kullanıcıları için önemli bir güvenlik riski oluşturuyor.

Bu zafiyet, yönetici yetkisine sahip bir kullanıcının, sunucu üzerinde rastgele dosya yazmasına izin veriyor. Yazılan bu dosyalar, Plex’in yükleme mekanizmaları tarafından çalıştırılabilir. Genellikle bu tür zafiyetler, uygulamanın dosya sistemi işlemleri sırasında kullanıcı girdisini yeterince doğrulamaması veya kısıtlamaması sonucu ortaya çıkar. Bu, bir saldırganın zararlı bir script veya yapılandırma dosyası yerleştirmesine olanak tanır.

Canlı sistemlerde, bu zafiyetin istismar edilmesi, Plex Media Server’ın çalıştığı sistem üzerinde uzaktan kod çalıştırmaya yol açabilir. Özellikle bu zafiyetin diğer Plex zafiyetleriyle (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655) zincirlenebilir olması, saldırının etkisini artırıyor. Bir saldırgan, bu sayede sistem üzerinde tam kontrol sağlayabilir veya hassas verilere erişebilir.

Plex Media Server kullanan herkesin, en kısa sürede üreticinin yayınladığı güncellemeleri uygulaması ve sistemlerini olası bir uzlaşmaya karşı kontrol etmesi gerekmektedir. Ayrıca, Plex sunucularının internete doğrudan açık olmaması ve güçlü kimlik doğrulama mekanizmalarının kullanılması önemlidir.

🔗 Kaynak: CISA KEV Catalog
📡 Takip edilen kaynaklar ve akış: Radar