Der Plex Media Server setzt einen Dateipfad aus einem vom Nutzer übergebenen URL-Parameter zusammen, ohne ihn auf Rücksprung-Sequenzen zu prüfen. Dadurch lässt sich beim Abruf von Medienagenten-Daten der vorgesehene Verzeichnisbereich verlassen (Path Traversal). Ein Angreifer aus der Ferne, der über ein gültiges Sitzungstoken verfügt, kann auf diesem Weg beliebige Dateien auslesen, auf die der betroffene Benutzerkontext zugreifen darf. Besonders folgenschwer ist dabei der Zugriff auf das gespeicherte Plex-Online-Token: Wer dieses erbeutet, kann das zugehörige Plex-Konto und den Medienserver übernehmen. Zusätzlich lässt sich dieselbe Schwachstelle von einem Angreifer im selben lokalen Netz ausnutzen, indem er einen selbst gesetzten X-Forwarded-For-Header mitschickt und damit als vertrauenswürdiger Client erscheint. Betroffen sind Installationen des Plex Media Servers vor der bereinigten Programmfassung.