Telegram-Stremio: Unsichere Speicherung des Telegram-Session-Strings
Zusammenfassung
Telegram-Stremio bis und mit Version 5.1.0 speichert den authentifizierten Telegram-Session-String des Betreibers nur durch eine schlüssellose, umkehrbare Kodierung statt durch Verschlüsselung. Ein Angreifer, der auf die MongoDB-Datenbank, ein Backup oder Logs zugreifen kann, kann den Wert dekodieren und erhält eine voll authentifizierte Telegram-Session. Damit erlangt er die vollständige Kontrolle über das Telegram-Konto des Betreibers, auch wenn die Zwei-Faktor-Authentisierung aktiviert ist.
Betroffen
- Telegram-Stremio 0 bis und mit 5.1.0
- Standardkonfiguration: nicht betroffene Versionen gemäss CNA-Eintrag
Behoben in
Unbekannt.
Umgehung
- Den Zugriff auf die MongoDB-Datenbank auf das lokale Netzwerk beschränken und die Authentifizierung aktivieren.
- Backups und Logs, die die Datenbank enthalten können, als vertraulich behandeln und verschlüsseln.
- Die gespeicherte Telegram-Session in der Liste der aktiven Sitzungen von Telegram widerrufen und, wo möglich, aus dem Dienst entfernen.
- Erst nach Bestätigung einer korrigierten Version erneut authentifizieren.
Ausnutzung
- Keine bekannte Ausnutzung; nicht im Katalog KEV der CISA aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.
- EPSS-Wert 0.0011.
- Kein öffentlicher Exploit identifiziert.
Unsere Empfehlung
- Prüfen, ob Telegram-Stremio verwendet wird, zum Beispiel in Docker- oder Home-Lab-Umgebungen.
- Falls im Einsatz: Zugriff auf Datenbank und Backups jetzt einschränken und die gespeicherte Telegram-Session widerrufen.
- Für den Dienst ein dediziertes Telegram-Konto mit begrenztem Wert verwenden.
- Das Problem als offen behandeln, bis der Hersteller eine korrigierte Version und einen Changelog-Eintrag veröffentlicht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Researcher write-up (gist) gist.github.com
- VulnCheck advisory www.vulncheck.com
- OpenCVE entry CVE-2026-109426 app.opencve.io
- Vulners RAPID7 entry CVE-2026-109426 vulners.com
- Telegram-Stremio repository github.com
- Telegram-Stremio releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.