CVE-2026-62979 in jack
الملخص
بحسب VulDB • 30/10/2026
يتيح jack للمستخدمين مشاركة مكتبات الوسائط عبر مجموعة أدوات Radarr/Sonarr الخاصة بهم باستخدام الاتصال من نظير إلى نظير (peer-to-peer). قبل الإصدار 0.1.0، كانت الدالة `middleware/handle-error.ts` تُجسّد كائنات `FetchError` الخام في استجابات HTTP. وتقوم `lib/servers/base.ts》 بإرفاق رؤوس الطلبات الصادرة عند حدوث استجابات غير ناجحة من الخادم الوكيل (upstream) أو فشل التحقق من المخطط؛ ويبقى الحقل العام `extras` الموجود في `lib/errors/FetchError.ts` قابلاً للعدّ ويتم تضمينه أثناء التحويل إلى صيغة JSON. وتشمل هذه الرؤوس مفتاح `X-Api-Key` الداخلي الخاص بـ Radarr/Sonarr، بالإضافة إلى رؤوس الوصلات المخصصة مثل `CF-Access-Client-Secret`. ولا تقوم الدالة `lib/redact.ts` بإخفاء تفاصيل السجلات والعمليات (spans) في مسار الاستجابة هذا. ويمكن لأي عميل يمتلك مفتاح peer المشترك للواجهة البرمجية، بالإضافة إلى بيانات اعتماد Cloudflare Access إذا كانت مطلوبة حسب إعدادات النشر، أن يسبب حدوث خطأ دون الحاجة إلى سباق زمني أو تفاعل من المستخدم. وقد تؤدي عمليات `GET /peer/items/:id` و `GET /servers/health` إلى كشف المفتاح الداخلي لخادم الوسائط، بينما يمكن لـ `GET /torznab/download/:id` أن تكشف مفتاح peer آخر وأسر Cloudflare Access. ولا تتأثر مسارات `/peer/search` و `/items` بهذه الأخطاء لأنها تصطدم بها وتعالجها. ومنح المفاتيح الداخلية المكشوفة يمنح تحكماً إدارياً كاملاً في مثيل Radarr/Sonarr المقابل، مما يتجاوز الحدود المقصودة بين الوصول المشترك للأصدقاء عبر peer والبيانات الاعتمادية الخاصة للخلفية (backend). وقد تم إصلاح هذه المشكلة في الإصدار 0.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.