Plex 敦促用户立即修补安全漏洞

Plex 本周敦促用户立即更新其桌面客户端和媒体服务器，以修补多个安全漏洞。

这些漏洞尚未被分配 CVE 编号以便于跟踪，虽然 Plex 周二未提供更多细节，但已知这些安全问题影响 Plex Media Server v1.43.2 及更早版本。

Plex 还向运行受影响版本的用户发送了电子邮件，要求他们尽快更新以解决这些安全漏洞。

"我们最近发布了 Plex Media Server 1.43.3 和 Plex Desktop 1.115.0，以解决一系列安全问题。我们建议所有服务器所有者和桌面用户尽快更新到最新版本，"该公司表示。

"CVE 编号已申请，一旦发布，我们将在该帖子中回复更多细节。如果您在 NAS 设备上运行 Plex Media Server，更新版本可能尚未在其软件包管理器中提供，但您可以手动安装软件包。"

运行受影响版本的用户建议尽快保护其系统，将 Plex Media Server 更新到版本 1.43.3（于 5 月 19 日发布），并将 Plex Desktop 客户端更新到 1.115.0（于 8 月 13 日发布），可从官方下载页面或服务器管理页面下载。

尽管 Plex 迄今为止尚未分享有关这些漏洞的任何细节，但用户应遵循公司的建议，在攻击者对补丁进行逆向工程并开发出漏洞利用程序之前保护其系统。

虽然 Plex 多年来已修补了多个严重安全漏洞，但这是少数几次它还通过电子邮件通知客户升级系统以解决特定漏洞的情况之一。

2025 年 8 月，该公司还警告用户修补一个被追踪为 CVE-2025-34158 的高危漏洞，该漏洞允许威胁行为者窃取服务器所有者的凭据。

两年前，即 2023 年 3 月，CISA 将一个 Plex Media Server 远程代码执行漏洞（CVE-2020-5741）标记为正被积极利用，该漏洞可允许攻击者使服务器执行恶意代码。

虽然 CISA 未分享有关利用 CVE-2020-5741 的攻击细节，但这些攻击很可能与 LastPass 的披露有关——2022 年，LastPass 一名高级 DevOps 工程师的计算机被利用一个第三方媒体软件 RCE 漏洞入侵，以安装键盘记录恶意软件。

攻击者利用此访问权限窃取了该工程师的凭据并入侵了 LastPass 的企业保管库，在窃取 LastPass 的数据库备份后，导致了 2022 年 8 月的大规模数据泄露。

同月，Plex 通知用户一起数据泄露事件，并在攻击者获取了一个包含电子邮件、用户名和加密凭据的数据库后，警告用户重置密码。