【漏洞预警】Plex 爆高危漏洞，未登录链路可拼出远程代码执行（CVE-2026-96652）

Plex Media Server 1.43.2 及更早有一组可链式利用的问题：时间线与转码路径上的服务端请求伪造、编码 URI 调用内部代理，以及向 Codecs 目录写入可加载的共享库（CVE-2026-96652 / 96654 / 96655 / 96656）。官方说明四者组合可在 PMS 进程权限下远程执行代码。CVE-2026-96652 与 96655 已列入 CISA KEV，补丁期限为今天 2026-11-03。请升到 ≥1.43.3.10861。官方镜像请固定 plexinc/pms-docker:1.43.6.11085-d1e52e169；linuxserver 请固定 1.43.5.11079-b3b13e506-ls331。plexinc 的 latest 与 public 目前不是这份修复构建。