ב-Plex Media Server יש נתיב בשם /player/timeline, שדרכו נגן מדווח לשרת היכן הוא נמצא בסרט. חולשה בגרסאות שלפני 1.43.3.10861 מאפשרת להשתיל בבקשה הזאת כתובת מלאה ולגרום לשרת לשלוח בעצמו בקשה אל היעד שהתוקף רשם. הציון הוא 5.3, והחולשה נמצאת ברשימת החולשות המנוצלות של CISA.

מה החולשה?

שני דברים נשברים כאן יחד, ושווה להפריד ביניהם.

הראשון הוא בדיקה שאינה בודקת. לפי הרשומה במאגר NVD, די בכך שהבקשה תכלול ערך כלשהו בשדה ה-token, כל ערך שהוא, כדי שהשרת ימשיך לטפל בה. השדה קיים, השרת מוודא שיש בו משהו, ולא מוודא שהמשהו הזה שייך למישהו.

השני הוא הפרמטר protocol באותה בקשה. במקום שם של פרוטוקול אפשר לתחוב לשם כתובת מלאה, והשרת ייקח אותה כיעד וישלח אליה בקשת POST. בקשת POST היא הסוג ששולח תוכן אל הצד השני, לא רק מושך ממנו.

התוצאה היא ששרת המדיה הופך לשליח. הוא זה שיוצר את הקשר החוצה, ומי שמקבל את הבקשה בצד השני רואה את הכתובת שלו ולא את זו של מי שיזם. למשפחת החולשות הזאת קוראים SSRF, זיוף בקשה מצד השרת.

הציון שנקבע, 5.3, משקף פגיעה נמוכה בסודיות בלבד. זו אינה חולשה שמוסרת את המכונה, אלא כזאת שמשאילה את זהותה.

מי מושפע?

כל גרסה של Plex Media Server שקודמת ל-1.43.3.10861. התיקון נכנס בגרסה הזאת.

התנאי לניצול, לפי הדירוג במאגר, הוא הרשאות נמוכות. בפועל, התיאור של החולשה מסביר למה הסף הזה נמוך כל כך: אם כל ערך בשדה ה-token מתקבל, הדרישה הזאת כמעט אינה דרישה.

בישראל הקהל כאן הוא בעיקר מי שמריץ שרת מדיה בבית. מי שהשרת שלו נגיש רק מתוך הרשת הביתית מוגן בפועל על ידי הרשת עצמה. מי שפתח אותו החוצה כדי לצפות מבחוץ נמצא במצב אחר, כי וקטור ה-CVSS מציין גישה דרך הרשת.

האם מנוצלת בפועל?

כן. ב-20 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, קטלוג שאליו נכנסות רק חולשות שיש עליהן ראיות לניצול ממשי ולא הערכה שהן ניתנות לניצול.

תאריך היעד שנקבע לרשויות הפדרליות בארצות הברית הוא 3 בנובמבר 2026.

מעבר לעצם הרישום, המקורות שמצורפים לרשומה אינם מפרטים מי מנצל את החולשה ולאיזו מטרה. הניתוח הטכני הוא מה שזמין מביניהם.

מה עושים?

התקינו את גרסה 1.43.3.10861 של Plex Media Server או מאוחרת יותר. זו הגרסה שבה החולשה תוקנה.

אם אינכם יודעים איזו גרסה רצה אצלכם, מסך ההגדרות של השרת מציג אותה. השוו למספר שלמעלה. כשהשרת מותקן על מכשיר אחסון ביתי, הגרסה שם מתעדכנת בקצב של אותו מכשיר ולא בקצב של Plex.

הצעד השני חשוב במיוחד אם לא תעדכנו מיד: בדקו אם השרת חשוף לאינטרנט. חולשה שגורמת לשרת לשלוח בקשות החוצה שווה הרבה יותר לתוקף שיכול להגיע אליו מרחוק, וסגירת הגישה החיצונית מנטרלת את רוב הערך הזה עד שהעדכון מותקן.

מה שלא יעזור כאן הוא ניקוי חשבונות. בחולשות אחרות זו עצה טובה, אבל כשהשרת מסתפק בכל ערך token, מחיקת משתמשים ישנים אינה סוגרת את הדלת. הרשומה הרשמית מרכזת את ההפניות למקורות.