CVE-2026-62979 in jack
요약
\~에 의해 VulDB • 2026. 10. 30.
jack은 사용자들이 Radarr/Sonarr 스택을 통해 미디어 라이브러리를 피어 투 피어(P2P) 방식으로 공유할 수 있게 합니다. 버전 0.1.0 이전에서는 `middleware/handle-error.ts`가 원본 `FetchError` 객체를 HTTP 응답으로 직렬화했습니다. 또한 `lib/servers/base.ts`는 업스트림의 성공하지 않은 응답 및 스키마 검증 실패 시 아웃바운드 요청 헤더를 첨부하며, `lib/errors/FetchError.ts`에 있는 공개된 `extras` 필드는 열거 가능(enumerable) 상태로 유지되어 JSON 직렬화를 통해 노출됩니다. 이러한 헤더에는 내부 Radarr/Sonarr의 `X-Api-Key`와 `CF-Access-Client-Secret`과 같은 커스텀 커넥터 헤더가 포함됩니다. `lib/redact.ts`는 로그 및 스팬은 마스킹하지만 이 응답 경로에서는 마스킹하지 않습니다. 공유된 피어 API 키를 보유하고 있으며, 배포 환경에 따라 Cloudflare Access 자격 증명이 필요한 경우 이를 갖춘 모든 클라이언트는 레이스 컨디션이나 사용자 상호 작용 없이도 오류를 유발할 수 있습니다. `GET /peer/items/:id` 및 `GET /servers/health` 엔드포인트는 내부 미디어 서버 키를 노출시킬 수 있으며, `GET /torznab/download/:id`는 다른 피어의 키와 Cloudflare Access 비밀값을 노출시킬 수 있습니다. `/peer/search` 및 `/items` 라우트는 이러한 오류를 포착하므로 영향을 받지 않습니다. 공개된 내부 키는 해당 Radarr/Sonarr 인스턴스에 대한 전체 관리 권한을 부여하여, 친구들 간의 공유 피어 접근과 비공개 백엔드 자격 증명 사이의 의도된 경계를 초월합니다. 이 문제는 버전 0.1.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.