Plex Media Server Seite 3

Im VLC Media Player von VideoLAN vor Version 3.0.19 besteht unter Windows eine Binary-Hijacking-Schwachstelle. Der Uninstaller versucht, Code mit erhöhten Rechten aus einem Verzeichnis auszuführen, das für Standardnutzer beschreibbar ist. Ein Standardnutzer kann dies ausnutzen, um beliebigen Code mit SYSTEM-Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch).

Adobe Media Encoder Version 24.0.2 und früher sowie 23.6 und früher sind von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion, da ein Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Media Encoder in Version 24.0.2 und früher sowie 23.6 und früher enthält einen Heap-based-Buffer-Overflow, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert Nutzerinteraktion, da ein Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Media Encoder Version 24.0.2 und früher sowie 23.6 und früher sind von einer Out-of-Bounds-Read-Schwachstelle beim Parsen einer präparierten Datei betroffen, die zu einem Lesezugriff über das Ende einer allozierten Speicherstruktur hinaus führen kann. Ein Angreifer kann dies ausnutzen, um Code im Kontext des aktuellen Benutzers auszuführen. Die Ausnutzung erfordert Nutzerinteraktion, da ein Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Media Encoder in den Versionen 24.0.2 und früher sowie 23.6 und früher ist von einer Out-of-Bounds-Read-Schwachstelle beim Parsen einer präparierten Datei betroffen, die zu einem Lesezugriff über das Ende einer zugewiesenen Speicherstruktur hinaus führen kann. Ein Angreifer könnte dies ausnutzen, um Code im Kontext des aktuellen Benutzers auszuführen. Voraussetzung ist, dass ein Opfer eine bösartige Datei öffnet. CVSS-Basiswert: 7.8 (Hoch).

Das WordPress-Plugin Enable Media Replace vor Version 4.1.3 deserialisiert Benutzereingaben über die Remove-Background-Funktion. Angreifer mit Author-Rechten oder höher können dadurch eine PHP Object Injection durchführen, sofern ein geeignetes Gadget auf dem Blog vorhanden ist. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 4.1.3 oder neuer.

Die NVD-Quelle beschreibt eine unauthentifizierte reflektierte Cross-Site-Scripting-Schwachstelle (XSS) im WordPress-Plugin UltimatelySocial Social Media Share Buttons & Social Sharing Icons in Versionen bis einschliesslich 2.8.3. CVSS-Basiswert: 7.1 (Hoch). Weitere technische Details zur Ausnutzung liegen in den Quelldaten nicht vor.

In OPSWAT MetaDefender KIOSK 4.6.1.9996 wurde laut NVD ein nicht in Anführungszeichen gesetzter Dienstpfad (Unquoted Service Path) entdeckt, der lokal missbraucht werden kann. Der CVSS-Vektor beschreibt einen Angriff mit lokalem Zugriff und geringen Rechten ohne Benutzerinteraktion, der zu vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. CVSS-Basiswert: 7.8 (Hoch).

Das WordPress-Plugin Media from FTP vor Version 11.17 schränkt die Nutzung des Plugins nicht ausreichend ein. Dadurch können Benutzer mit Author-Rechten oder höher Dateien verschieben, etwa wp-config.php, was in einigen Fällen zu entfernter Codeausführung führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.17 oder neuer.

Social Media Skeleton ist ein unvollständiges Social-Media-Framework-Projekt auf Basis von PHP, CSS, JavaScript und HTML. Laut Quelle salzt das Projekt vor Version 1.0.5 Nutzerpasswörter nicht korrekt, wodurch diese anfällig für Cracking sind, sollte ein Angreifer Zugriff auf die gehashten Passwörter erlangen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 1.0.5, in der das Problem laut Quelle behoben wurde; Workarounds sind laut Quelle nicht bekannt.

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2018-13415) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 26.9 %.

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2021-33959) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 15.0 %.

Für Plex Media Server liegt laut der Sicherheitsübersicht von Plex Inc ein Eintrag zu dieser CVE-ID vor. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 9.5 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Plex Media Server wurde laut Plex Inc eine Sicherheitslücke (CVE-2014-9304) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 8.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Sipwise rtpengine vor Version 13.4.1.1 erlaubt ein Origin-Validation-Fehler in der Endpoint-Learning-Logik des Media-Relay-Kerns entfernten Angreifern, RTP/SRTP-Medienströme einzuschleusen oder abzufangen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.0 %. Empfohlene Massnahme: Update auf Sipwise rtpengine 13.4.1.1 oder neuer.

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2019-19141) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 4.7 %.

Für Axis Communications wurde laut Axis eine Sicherheitslücke (CVE-2013-3543) gemeldet; betroffen ist laut Zuordnung auch Plex Media Server. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2018-21031) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %.

Für CVE-2019-8939 liegt bei Plex Media Server laut Plex Inc ein Sicherheitshinweis vor. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Für CVE-2020-5742 liegt bei Plex Inc ein Sicherheitshinweis zu Plex Media Server vor. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Laut Plex Inc besteht eine Schwachstelle in Plex Media Server, die auch im Zusammenhang mit Microsoft Windows dokumentiert ist. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Details zu betroffenen Versionen und Massnahmen sind dem Plex-Advisory zu entnehmen.

Für CVE-2020-5740 liegt laut Plex Inc ein Eintrag zu Plex Media Server vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Zusätzlich als betroffen zugeordnet ist Microsoft Windows. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Windows Media kann ein nicht autorisierter Angreifer über das Netzwerk auf sensible Informationen zugreifen, die eigentlich vor unbefugtem Zugriff geschützt sein sollten. CVSS-Basiswert: 5.3 (Mittel) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Plex Inc führt CVE-2025-34158 in den Sicherheitsmeldungen zu Plex Media Server auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das WordPress-Plugin Blog2Social: Social Media Auto Post & Scheduler ist über einen nutzerkontrollierten Schlüssel anfällig für eine Autorisierungsumgehung. Betroffen sind alle Versionen bis einschliesslich 8.8.3. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

In der Media-Komponente von Google Chrome auf Windows vor Version 151.0.7922.72 kann ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, über eine nicht initialisierte Speichernutzung potenziell sensible Informationen aus dem Prozessspeicher erhalten. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Die Offenlegung sensibler Informationen gegenüber einem nicht berechtigten Akteur in Windows Media erlaubt es einem berechtigten Angreifer, lokal Informationen offenzulegen. Betroffen sind Microsoft Windows und Plex Media Server. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates von Microsoft einspielen.

In Windows Media kann eine unsachgemässe Offenlegung vertraulicher Informationen von einem bereits autorisierten Angreifer lokal ausgenutzt werden. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Summarize vor Version 0.17.0 enthält laut NVD eine Resource-Exhaustion-Schwachstelle. Entfernte Angreifer können durch das Ausliefern von Medien-Antworten, die das durchgesetzte Grössenlimit umgehen, eine Festplattenerschöpfung auslösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Backend-Benutzer mit Datei-Download-Berechtigung konnten über das Medien-Modul Dateien aus dem Fallback-Speicher der File Abstraction Layer (FAL) herunterladen. Da der Fallback-Speicher Pfade relativ auflöst, liess sich damit auf Dateien ausserhalb des vorgesehenen Bereichs zugreifen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Listeo Core ermöglicht in allen Versionen bis einschliesslich 2.0.27 über die Funktion listeo_core_handle_dropped_media einen nicht authentifizierten, beliebigen Medien-Upload. Angreifer könnten so ohne Anmeldung Dateien hochladen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

In der Media-Komponente von Google Chrome besteht vor Version 151.0.7922.72 ein Seitenkanal-Informationsleck. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Cross-Origin-Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Media-Komponente von Google Chrome unter Windows vor Version 151.0.7922.72 erlaubt es einem Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über präparierte Eingaben herkunftsübergreifende (cross-origin) Daten auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2025-69416) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für Plex Media Server wurde die Sicherheitslücke CVE-2025-69417 gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor; ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In netease-youdao LobsterAI 2026.6.10 wurde laut NVD eine Schwachstelle in der Funktion parseMediaTokensFromText der Datei src/renderer/services/artifactParser.ts (Komponente MEDIA Path Handler) identifiziert. Die Schwachstelle ist über das Netzwerk erreichbar, setzt laut CVSS-Vektor jedoch eine Nutzerinteraktion voraus. CVSS-Basiswert: 4.3 (Mittel).

Das WordPress-Plugin WP CTA ist bis einschliesslich Version 2.1.2 anfällig für Server-Side Request Forgery (SSRF). Laut NVD liegt die Ursache im Parameter sticky_s_media beim Import von JSON-Dateien. CVSS-Basiswert: 4.9 (Mittel).

Für Plex Media Server wurde eine Sicherheitslücke (CVE-2025-69415) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Misskey ist eine quelloffene, föderierte Social-Media-Plattform. In den Versionen 8.63.0 und später, jedoch vor 2026.5.4, enthält sie laut Quelle eine Schwachstelle, die dazu führen kann, dass der Misskey-Web-Client verlangsamt wird oder abstürzt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Der Plex Media Encoder ist von einer Out-of-Bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. Ein Angreifer kann die Lücke ausnutzen, um vertrauliche Informationen offenzulegen. CVSS-Basiswert: 5.5 (Mittel).

Misskey ist eine quelloffene, föderierte Social-Media-Plattform. Alle Misskey-Server ab Version 2024.5.0 bis vor 2026.5.4 enthalten laut Quelle eine Schwachstelle in der Server Announcements API; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Ein CVSS-Basiswert und eine Ausnutzungswahrscheinlichkeit (EPSS) liegen für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Die Joomla-Erweiterung Quix Page Builder Pro ist anfällig für eine unzureichende Zugriffskontrolle. Authentifizierte Nutzer konnten Mediendateien hochladen, unabhängig von ihren Berechtigungen für die Medienverwaltung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die Erweiterung auf eine fehlerbereinigte Version aktualisieren.

Beim Erstellen eines Exports aller wiederverwendbaren Medien wurden die Geheimnisse verknüpfter Gift Cards in den Export aufgenommen, selbst wenn der exportierende Nutzer nicht berechtigt war, Gift Cards einzusehen. Zu dieser Schwachstelle liegt in den Quelldaten kein CVSS-Basiswert vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Postiz ist ein KI-gestütztes Social-Media-Planungswerkzeug. Von Version 2.16.6 bis vor Version 2.21.7 teilen sich alle in den Versionen 2.21.4 bis 2.21.6 ergänzten SSRF-Schutzmassnahmen eine grundlegende TOCTOU-Schwachstelle (Time-of-Check-Time-of-Use). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 2.21.7 oder neuer aktualisieren. Im Feed ist die Schwachstelle den überwachten Produktbereichen Plex Inc und Check Point zugeordnet.

Plex Inc führt CVE-2025-69414 in seinen Sicherheitsmeldungen zu Plex Media Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Misskey ist eine quelloffene, föderierte Social-Media-Plattform. Versionen ab 2025.3.2 bis vor 2026.5.4 enthalten laut Quelle eine Schwachstelle, bei der fehlende Berechtigungsprüfungen den Zugriff auf bestimmte Inhalte ermöglichen; die Quellbeschreibung bricht an dieser Stelle ab, welche Inhalte konkret betroffen sind, ist aus den Quelldaten nicht ersichtlich. Ein CVSS-Basiswert und eine Ausnutzungswahrscheinlichkeit (EPSS) liegen für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der Media-Router-Komponente von Google Chrome (vor Version 151.0.7922.72) führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite die Same-Origin-Policy umgehen kann. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

Die geteilte Download-Route von Akaunting (app/Http/Controllers/Common/Uploads.php::download(), erreichbar unter uploads/{id}/download) liegt nur hinter einer generischen Authentifizierungs-Middleware. Der Handler lädt den angeforderten Media-Datensatz anhand der ID. CVSS-Basiswert: 6.5 (Mittel).

In der Media-Komponente von Google Chrome unter Android vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Navigationsbeschränkungen umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Home Assistant Core vor Version 2026.5.4 enthält eine Cross-Site-Scripting-Schwachstelle in der Methode async_get_media_image() der Shelly-Integration. Angreifer, die das Thumbnail eines Shelly-Geräts kontrollieren, können darüber Schadcode einschleusen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Home Assistant Core 2026.5.4 aktualisieren.