CVE-2026-62979 in jack
要約
〜によって VulDB • 2026年10月30日
jackは、Radarr/Sonarrスタックを通じてメディアライブラリをピアツーピアで共有できるようにします。バージョン0.1.0より前では、`middleware/handle-error.ts`が生の`FetchError`オブジェクトをHTTPレスポンスにシリアライズしていました。`lib/servers/base.ts`は、アップストリームからの成功しないレスポンスやスキーマ検証の失敗に対してアウトバウンドリクエストヘッダーを追加します；`lib/errors/FetchError.ts`内の公開されている`extras`フィールドは列挙可能であり、JSONシリアライズによって出力されます。これらのヘッダーには内部Radarr/Sonarr `X-Api-Key`や`CF-Access-Client-Secret`のようなカスタムコネクタヘッダーが含まれます。`lib/redact.ts`はログとスパンをマスクしますが、このレスポンスパスについては行いません。共有されたピアAPIキーを持つ任意のクライアントは（デプロイメントによってCloudflare Access認証情報が要求される場合）、競合状態やユーザー操作なしでエラーを引き起こすことができます。`GET /peer/items/:id`および`GET /servers/health`は内部メディアサーバーキーを露出させる可能性があり、一方`GET /torznab/download/:id`は他のピアのキーとCloudflare Accessシークレットを露出させる可能性があります。ただし、これらのエラーを検出し影響を受けない`/peer/search`および`/items`ルートがあります。公開された内部キーにより、対応するRadarr/Sonarrインスタンスに対する完全な管理者権限が与えられ、友人間の共有ピアアクセスとプライベートバックエンド認証情報の間に意図されていた境界を越えてしまいます。この問題はバージョン0.1.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.