Bazarr: Fehlende Authentifizierung in Plex-OAuth-API ermöglicht SSRF und Konfigurationsmanipulation

Zusammenfassung

Bazarr, eine Begleitanwendung zu Sonarr und Radarr, verlangte für mehrere Plex-OAuth-API-Endpunkte keine Authentifizierung. Ein nicht authentifizierter Angreifer, der die Weboberfläche erreichen kann, kann die Plex-Zugangsdaten löschen, einen selbst gewählten API-Schlüssel setzen oder ein von ihm kontrolliertes Plex-Konto einbinden und die Plex-Server-URL ändern. Von Angreifern kontrollierte URLs erhalten anschliessend den konfigurierten API-Schlüssel im Header X-Plex-Token, was Server-Side Request Forgery und Offenlegung von Zugangsdaten ermöglicht. Es ist keine Benutzerinteraktion erforderlich.

Betroffen

• Bazarr-Versionen vor 1.5.7-beta.14 (gemäss CVE-Eintrag)

Behoben in

• Bazarr 1.5.7-beta.14 (ergänzt Authentifizierung für die Plex-OAuth-API-Endpunkte)
• Unbekannt: Die erste stabile Version mit diesem Fix konnte nicht verifiziert werden; laut Angaben enthält 1.6.2 ihn

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Bis zum Patch den externen Zugriff auf /api/plex/* am Reverse Proxy blockieren oder SSO davorschalten, ohne /api von der Authentifizierung auszunehmen.

Ausnutzung

• Aktive Ausnutzung: keine Hinweise gefunden, aber nicht bestätigt, dass die Schwachstelle nicht im CISA-KEV-Katalog steht.
• Öffentlicher Proof of Concept: in den durchgeführten Recherchen nicht gefunden.

Unsere Empfehlung

• Bazarr auf 1.5.7-beta.14 oder neuer aktualisieren; für die meisten KMU ist 1.6.2 die praktische stabile Wahl.
• Zugriff auf die Bazarr-Weboberfläche und /api aus nicht vertrauenswürdigen Netzen sofort einschränken.
• Nach dem Update API-Schlüssel, Plex-Token, Plex-Server-URL und Webhook-Einstellungen auf unerwartete Änderungen prüfen.
• Der CVE-Eintrag beschreibt die OAuth-State-Validierung als separates offenes Restrisiko; den Upstream-Advisory im Auge behalten.

Quellen der Recherche

• GitHub Security Advisory GHSA-fvcv-hh55-x3r4 github.com
• Commit f9a8a95: Added authentication to Plex OAuth API endpoints github.com
• Commit 4bd2925: Fixed security vulnerabilities github.com
• Bazarr v1.5.7-beta.14 tag github.com
• Linuxserver docker-bazarr v1.5.7-beta.14 release notes newreleases.io
• Bazarr Plex integration documentation wiki.bazarr.media

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:20.