CVE-2026-62979 in jack
Resumen
por VulDB • 2026-10-30
jack permite a los usuarios compartir bibliotecas de medios a través de su pila Radarr/Sonarr mediante comunicación peer-to-peer (P2P). Antes de la versión 0.1.0, `middleware/handle-error.ts` serializaba objetos `FetchError` sin procesar en respuestas HTTP. `lib/servers/base.ts` adjunta encabezados de solicitud salientes a las respuestas no exitosas del servidor upstream y ante fallos de validación de esquema; el campo público `extras` en `lib/errors/FetchError.ts` sigue siendo enumerable y se emite mediante la serialización JSON. Estos encabezados incluyen la clave interna `X-Api-Key` de Radarr/Sonarr y los encabezados personalizados del conector, como `CF-Access-Client-Secret`. `lib/redact.ts` enmascara los registros (logs) y trazas, pero no esta ruta de respuesta. Cualquier cliente que posea la clave P2P compartida, más las credenciales de Cloudflare Access si son requeridas por el despliegue, puede forzar un error sin necesidad de una condición de carrera ni interacción del usuario. Las rutas `GET /peer/items/:id` y `GET /servers/health` pueden exponer la clave interna del servidor de medios, mientras que `GET /torznab/download/:id` puede exponer la clave de otro peer y los secretos de Cloudflare Access. Las rutas `/peer/search` e `/items` capturan estos errores y no se ven afectadas. La divulgación de claves internas otorga control administrativo completo sobre la instancia correspondiente de Radarr/Sonarr, cruzando el límite previsto entre el acceso P2P compartido entre amigos y las credenciales privadas del backend. Este problema está corregido en la versión 0.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.