🇰🇷 한글 설명
Plex Media Server 1.43.3.10861 이전 버전에서 '/player/timeline' 경로를 통해 SSRF 취약점이 발생합니다. 공격자는 임의의 X-Plex-Token 값을 사용하여 'protocol' 파라미터에 전체 URL을 포함함으로써 서버가 공격자가 지정한 목적지로 POST 요청을 보내도록 강제할 수 있습니다.
💡 쉬운 설명
해커가 Plex 서버를 조종하여 서버가 직접 다른 웹사이트에 가짜 요청을 보내게 만드는 취약점입니다. 이를 통해 서버 내부의 정보를 빼내거나 다른 시스템을 공격하는 통로로 악용될 수 있습니다.
🇺🇸 원문 (English)
Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.
📍 영향받는 시스템
Plex Media Server 1.43.3.10861 미만 버전
⚔️ 공격 벡터
특정 API 경로(/player/timeline)의 'protocol' 파라미터에 악의적인 URL을 삽입하여 서버가 외부로 요청을 보내게 유도
🛡️ 대응 방법
Plex Media Server를 최신 버전인 1.43.3.10861 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.43.3.10861보다 낮은지 확인하십시오.
curl -s http://localhost:32400/identity | grep -oP 'version: ".*?"' | head -n 1
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Plex 제품 보안 업데이트 권고
P4
📅 2026-10-20 · sec_notice
Plex Media Server에서 Path Traversal 및 SSRF 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전 사용자는 공격에 노출될 수 있으므로 최신 버전(1.43.3.10861 이상)으로 업데이트가 필요합니다.