CVE-2026-62979 in jack
Zusammenfassung
von VulDB • 30.10.2026
jack ermöglicht es Nutzern, Medienbibliotheken über ihre Radarr-/Sonarr-Stack-Architektur im Peer-to-Peer-Betrieb zu teilen. Vor Version 0.1.0 serialisiert `middleware/handle-error.ts` rohe `FetchError`-Objekte in HTTP-Antworten. `lib/servers/base.ts` hängt bei nicht erfolgreichen Antworten des Upstreams und Schemavalidierungsfehlern Header für ausgehende Anfragen an; das öffentliche Feld `extras` in `lib/errors/FetchError.ts` bleibt aufzählbar (enumerable) und wird durch die JSON-Serialisierung emittiert. Zu diesen Headern gehören der interne Radarr-/Sonarr-Header `X-Api-Key` sowie benutzerdefinierte Connector-Header wie `CF-Access-Client-Secret`. `lib/redact.ts` rotet Protokolleinträge (Logs) und Spans, jedoch nicht diesen Antwortpfad. Jeder Client mit dem freigegebenen Peer-API-Schlüssel kann – gegebenenfalls unter Verwendung von Cloudflare Access-Anmeldeinformationen, falls vom Deployment erforderlich – einen Fehler erzwingen, ohne dass ein Race Condition oder eine Benutzerinteraktion nötig ist. Die Endpunkte `GET /peer/items/:id` und `GET /servers/health` können den internen Medienserver-Schlüssel offenlegen, während `GET /torznab/download/:id` den Schlüssel eines anderen Peers sowie Cloudflare Access-Geheimnisse preisgeben kann. Die Routen `/peer/search` und `/items` fangen diese Fehler ab und sind nicht betroffen. Offenlegungen interner Schlüssel gewähren volle administrative Kontrolle über die entsprechende Radarr-/Sonarr-Instanz und überschreiten damit die beabsichtigte Grenze zwischen dem freigegebenen Peer-Zugriff unter Freunden und privaten Backend-Anmeldeinformationen. Dieses Problem wurde in Version 0.1.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.