CISA将Plex SSRF漏洞列入KEV，PoC已公开
先了解这件事
美国网络安全和基础设施安全局（CISA）已将 Plex Media Server 的服务端请求伪造（SSRF）漏洞 CVE-2026-96652 列入已知被利用漏洞目录（KEV）。据 CISA 描述，攻击者使用任意 X-Plex-Token 值，即可在 protocol 参数中填入完整 URL，迫使 Plex 服务器向攻击者指定的目标发起 POST 请求；该漏洞还可与 CVE-2026-96654、CVE-2026-96655、CVE-2026-96656 串联利用。 随后，针对该漏洞的 PoC 与验证材料被公开。公开材料称，漏洞位于 /player/timeline 订阅端点，服务端只校验 X-Plex-Token 头是否存在而不校验其值，无需认证即可让服务器向攻击者指定 URL 发起请求；该漏洞已在 Plex Media Server 1.43.3.10861 中修复，建议升级至该版本或更高版本。
AI 根据报道生成 · 5 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- Sploitus 利用聚合精选Plex Media Server CVE-2026-96652 SSRF PoC 公开，可链式窃取 owner 令牌
针对 Plex Media Server 的 CVE-2026-96652（GHSA-5p7w-r379-3c2m，CVSS v3.1 4.3，CWE-918）公开了 PoC 与验证材料，该漏洞位于 /player/timeline 订阅端点，服务端只校验 X-Plex-Token 头是否存在而不校验其值，无需认证即可让服务器向攻击者指定 URL 发起请求。
- The Hacker News精选CISA 将 Plex2Shell、Siemens 与 SiteGuard 漏洞列入 KEV，要求联邦机构限期修复
CISA 于周二将四个漏洞加入 KEV 目录，其中四个 Plex Media Server 漏洞被合称 Plex2Shell。
- CISA 已知被利用漏洞目录 (KEV)CISA KEV 收录 Plex Media Server SSRF 漏洞 CVE-2026-96652
CISA 已知被利用漏洞目录收录 Plex Media Server 的 SSRF 漏洞 CVE-2026-96652，攻击者使用任意 X-Plex-Token 值即可在 protocol 参数中填入完整 URL，迫使 Plex 服务器向指定目标发起 POST 请求。该漏洞可与 CVE-2026-96654、CVE-2026-96655、CVE-2026-96656 串联利用。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。