Schwere Token-Schwachstellen in Plex Media Server

Im Plex Media Server wurde die kritische Schwachstelle CVE-2025-34158 gefunden, die eine Privilegieneskalation innerhalb der Plattform erlaubte. Betroffen sind Versionen von 1.41.7 bis 1.42.0. Über den Endpunkt /myplex/account können authentifizierte Nicht-Besitzer das Admin-Zugriffstoken des Serverbesitzers auslesen und damit vollständige Kontrolle über geteilte Server sowie verbundene Plex-Instanzen erlangen. Die Lücke wurde im August 2025 mit Version 1.42.1 geschlossen.

Trotz des Patches bestehen laut Sicherheitsforschern weitere ungelöste Probleme im Token-Management. Demnach lassen sich temporäre Tokens weiterhin in permanente Zugriffstokens umwandeln, zudem sind Server- und Geräte-Tokens nur unzureichend widerrufbar. Angreifer könnten so auch nach Geräteentfernung oder Token-Wechsel dauerhaft Zugriff behalten.

Die Kombination aus zentral gespeicherten Zugriffstokens bei plex.tv und weitreichenden API-Zugriffen erhöht das Risiko großflächiger Kompromittierungen. Nutzerinnen und Nutzer wird dringend empfohlen, auf aktuelle Versionen zu aktualisieren und geteilte Zugriffe kritisch zu prüfen.

Tags :

Related Posts

Fake Office Aktivierungstool: Hacker infiziert fast 2,8 Millionen Computer

Ein 29-jähriger litauischer Staatsbürger ist wegen seiner mutmaßlichen Beteiligung an einer groß angelegten Malwarekampagne festgenommen worden, so ein Bericht von Bleeping Computer. Der Verdächtige soll weltweit rund 2,8 Millionen Systeme mit Schadsoftware infiziert haben, die als illegales Aktivierungstool KMSAuto für Windows und Office getarnt war. Die Festnahme erfolgte nach einer Auslieferung aus Georgien nach Südkorea im Rahmen einer von Interpol koordinierten Aktion.

Read More

BSI legt umfassende Sicherheitsanalyse zu Passwortmanagern vor

Das BSI hat in einem neuen Bericht eine tiefgehende Sicherheitsbewertung von zehn gängigen Passwortmanagern veröffentlicht – darunter 1Password, KeePassXC, Chrome- und Firefox-Password-Manager sowie mehrere kommerzielle Anbieter. Die Analyse zeigt erhebliche Qualitätsunterschiede und teils kritische Schwächen im Markt. passwortmanager

Read More

USA verlangen Zugriff auf europäische Polizeidaten

Die USA wollen den Verbleib europäischer Staaten im Visa-Waiver-Programm künftig an einen direkten Zugriff auf nationale Polizeidatenbanken knüpfen. Gefordert wird der automatisierte Zugang zu Biometriedaten wie Fingerabdrücken und Gesichtsbildern – nicht nur von Reisenden, sondern auch von Personen, deren Daten bei Polizei- und Grenzbehörden gespeichert sind.

Read More