Schwere Token-Schwachstellen in Plex Media Server

Im Plex Media Server wurde die kritische Schwachstelle CVE-2025-34158 gefunden, die eine Privilegieneskalation innerhalb der Plattform erlaubte. Betroffen sind Versionen von 1.41.7 bis 1.42.0. Über den Endpunkt /myplex/account können authentifizierte Nicht-Besitzer das Admin-Zugriffstoken des Serverbesitzers auslesen und damit vollständige Kontrolle über geteilte Server sowie verbundene Plex-Instanzen erlangen. Die Lücke wurde im August 2025 mit Version 1.42.1 geschlossen.

Trotz des Patches bestehen laut Sicherheitsforschern weitere ungelöste Probleme im Token-Management. Demnach lassen sich temporäre Tokens weiterhin in permanente Zugriffstokens umwandeln, zudem sind Server- und Geräte-Tokens nur unzureichend widerrufbar. Angreifer könnten so auch nach Geräteentfernung oder Token-Wechsel dauerhaft Zugriff behalten.

Die Kombination aus zentral gespeicherten Zugriffstokens bei plex.tv und weitreichenden API-Zugriffen erhöht das Risiko großflächiger Kompromittierungen. Nutzerinnen und Nutzer wird dringend empfohlen, auf aktuelle Versionen zu aktualisieren und geteilte Zugriffe kritisch zu prüfen.

Tags :

Related Posts

USA verlangen Zugriff auf europäische Polizeidaten

Die USA wollen den Verbleib europäischer Staaten im Visa-Waiver-Programm künftig an einen direkten Zugriff auf nationale Polizeidatenbanken knüpfen. Gefordert wird der automatisierte Zugang zu Biometriedaten wie Fingerabdrücken und Gesichtsbildern – nicht nur von Reisenden, sondern auch von Personen, deren Daten bei Polizei- und Grenzbehörden gespeichert sind.

Read More

PowerShell-Lücke ermöglicht Codeausführung über manipulierte Inhalte

Microsoft warnt vor einer neu entdeckten Sicherheitsanfälligkeit in PowerShell (CVE-2025-54100), die unter bestimmten Bedingungen zur Ausführung von Schadcode führen kann. Die Schwachstelle beruht auf einer unzureichenden Neutralisierung von Eingaben (CWE-77) und kann ausgenutzt werden, wenn Nutzer speziell präparierte Inhalte über PowerShell-Befehle wie Invoke-WebRequest verarbeiten.

Read More

BSI legt umfassende Sicherheitsanalyse zu Passwortmanagern vor

Das BSI hat in einem neuen Bericht eine tiefgehende Sicherheitsbewertung von zehn gängigen Passwortmanagern veröffentlicht – darunter 1Password, KeePassXC, Chrome- und Firefox-Password-Manager sowie mehrere kommerzielle Anbieter. Die Analyse zeigt erhebliche Qualitätsunterschiede und teils kritische Schwächen im Markt. passwortmanager

Read More