FICHE CVE

CVE-2021-42835

Publiée le 2021-12-08 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Plex Media Server (version 1.24.4.5081-e362dc1ee et versions antérieures) sont vulnérables à une faille d'escalade de privilèges. Un attaquant disposant déjà d'un accès à faible privilège sur votre machine peut exploiter une condition de concurrence (race condition) dans le service de mise à jour pour exécuter du code arbitraire avec les permissions SYSTEM complètes. Cela nécessite un accès au réseau local et est techniquement difficile à exécuter, mais ne requiert aucune interaction de la part de l'utilisateur.

CVSS 3.17.0 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2021-12-08

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in Plex Media Server through 1.24.4.5081-e362dc1ee. An attacker (with a foothold in a endpoint via a low-privileged user account) can access the exposed RPC service of the update service component. This RPC functionality allows the attacker to interact with the RPC functionality and execute code from a path of his choice (local, or remote via SMB) because of a TOCTOU race condition. This code execution is in the context of the Plex update service (which runs as SYSTEM).