Plex Media Server'da kodlanmış URI şemalarının yanlış nötralizasyonu zafiyeti

Özet: CISA, Plex Media Server’da aktif olarak istismar edilen bir kodlanmış URI şemalarının yanlış nötralizasyonu zafiyeti (CVE-2026-96654) hakkında uyarı yayınladı. Bu zafiyet, bir saldırganın diğer eklentilerin fonksiyonlarını çağırmasına ve kendi parametrelerini sağlamasına olanak tanıyor.

Plex Media Server’da, web sayfasındaki kodlanmış URI şemalarının yanlış nötralizasyonundan kaynaklanan kritik bir güvenlik açığı (CVE-2026-96654) tespit edildi. Bu zafiyet, CISA KEV kataloğunda yer alıyor ve aktif olarak istismar edildiği belirtiliyor. Bu durum, Plex’in eklenti mimarisi üzerinden potansiyel saldırılara yol açabilir.

Bu zafiyet, Plex’in URI şemalarını işlerken yeterli doğrulama yapmamasından kaynaklanıyor. Bir saldırgan, özel olarak hazırlanmış kodlanmış URI’lar kullanarak, Plex’in diğer eklentilerinin fonksiyonlarını çağırabilir ve bu fonksiyonlara kendi belirlediği parametreleri gönderebilir. Bu, eklentilerin normalde erişilemeyen veya kısıtlı olan işlevlerini kötüye kullanma potansiyeli yaratır.

Canlı sistemlerde, bu zafiyetin istismar edilmesi, Plex Media Server üzerinde yetkisiz eylemler gerçekleştirmeye yol açabilir. Saldırgan, eklentiler aracılığıyla dosya sistemi işlemleri yapabilir, hassas bilgilere erişebilir veya diğer sistem zafiyetleriyle birleştirilerek daha geniş bir saldırı vektörü oluşturabilir. Özellikle bu zafiyetin diğer Plex zafiyetleriyle (CVE-2026-96652, CVE-2026-96655, CVE-2026-96656) zincirlenebilir olması, risk seviyesini artırıyor.

Plex Media Server kullanıcılarının, üreticinin yayınladığı güncellemeleri derhal uygulaması ve Plex eklentilerinin güvenliğini gözden geçirmesi gerekmektedir. Güvenilmeyen veya gereksiz eklentilerin kaldırılması, saldırı yüzeyini azaltmaya yardımcı olacaktır.

🔗 Kaynak: CISA KEV Catalog
📡 Takip edilen kaynaklar ve akış: Radar