แฮกเกอร์พบช่องโหว่ RCE (Remote Code Execution) ใน Plex Media Server ที่ทำให้สามารถรันโค้ดได้จากระยะไกลโดยไม่ต้องล็อกอิน ผู้รายงานได้รับเงินรางวัล $500 และเผยแพร่หลักฐานการโจมตี (PoC) บน GitHub ช่องโหว่นี้เปิดโอกาสให้แฮกเกอร์ควบคุมเซิร์ฟเวอร์ได้โดยไม่ต้องผ่านการตรวจสอบใดๆ โดยเฉพาะผู้ใช้ที่ไม่ได้อัปเดตแพตช์ล่าสุดเสี่ยงถูกเจาะระบบ เนื่องจากช่องโหว่สามารถใช้ได้กับเซิร์ฟเวอร์ที่เปิด API endpoint ตัวนี้ออกสู่อินเทอร์เน็ตสาธารณะ ผู้ใช้ควรอัปเดตเป็นเวอร์ชันที่แก้ไขแล้วทันที หรือปิดการเข้าถึง API ช่องโหว่ไว้ชั่วคราว ช่องโหว่นี้เกิดจากการเชื่อมโยงขั้นตอน (chain) ที่มีอยู่ในระบบ ซึ่งทำให้แฮกเกอร์สามารถใช้ข้อผิดพลาดในการตรวจสอบความถูกต้องเพื่อเข้าถึงระบบได้ ผู้รายงานช่องโหว่ระบุว่าการโจมตีนี้คล้ายกับช่องโหว่ที่เคยพบในผลิตภัณฑ์เดียวกันในอดีต
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว