Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-200
  • CWE-209

CVE-2026-62979

jack: Hata yanıtları arka uç ve eş kimlik bilgilerini ifşa ediyor

roziscoding jack

Yüksek 8,4 CVSS 4.0
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, paylaşılan medya erişim sisteminin arka plandaki yönetim anahtarlarını dışarı sızdırabilir. Sızan anahtarlarla medya sunucularının tamamı kontrol altına alınabilir. Etkilenen kurulumların hemen güncellenmesi ve ilgili anahtarların yenilenmesi önemlidir.

ÖzetTürkçe

jack, medya kütüphanelerinin Radarr/Sonarr yığını üzerinden eşler arası olarak paylaşılmasını sağlayan bir uygulamadır. 0.1.0 öncesi sürümlerde hata yanıtları, üst akış sunucularına giden istek başlıklarını içerebilmektedir. Bu başlıklarda Radarr/Sonarr X-Api-Key değeri ve dağıtımda gerekiyorsa Cloudflare Access istemci gizli anahtarı gibi bilgiler bulunabilir. Paylaşılan eş API anahtarına sahip herhangi bir istemci, hata tetikleyerek bu bilgilere erişebilir.

Saldırgan ne yapabilir?

Saldırgan, ifşa olan anahtarlarla ilgili Radarr/Sonarr örneği üzerinde tam yönetici yetkisi elde edebilir ve paylaşılan eş erişiminin ötesine geçebilir. Başka bir eşin anahtarları ve Cloudflare Access gizli anahtarları da sızabilir.

Kaynaktaki açıklama (İngilizce)

jack lets users share media libraries through their Radarr/Sonarr stack, peer-to-peer. Prior to 0.1.0, middleware/handle-error.ts serializes raw FetchError objects into HTTP responses. lib/servers/base.ts attaches outbound request headers on upstream non-success responses and schema-validation failures; the public extras field in lib/errors/FetchError.ts remains enumerable and is emitted by JSON serialization. These headers include the internal Radarr/Sonarr X-Api-Key and custom connector headers such as CF-Access-Client-Secret. lib/redact.ts redacts logs and spans but not this response path. Any client with the shared peer API key, plus Cloudflare Access credentials if required by the deployment, can force an error without a race or user interaction. GET /peer/items/:id and GET /servers/health can expose the internal media-server key, while GET /torznab/download/:id can expose another peer's key and Cloudflare Access secrets. The /peer/search and /items routes catch these errors and are not affected. Disclosed internal keys grant full administrative control of the corresponding Radarr/Sonarr instance, crossing the intended boundary between friends' shared peer access and private backend credentials. This issue is fixed in version 0.1.0.

Ne yapmalı?

  1. jack uygulamasını 0.1.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeden sonra, sızmış olabileceğini düşündüğünüz Radarr/Sonarr API anahtarlarını ve Cloudflare Access gizli anahtarlarını yenileyin. Genel öneri
  3. Hata yanıtı ve erişim kayıtlarını inceleyerek daha önce olağandışı hata isteklerinin yapılıp yapılmadığını kontrol edin. Genel öneri

Ek önlemler

  • Eş paylaşım anahtarlarını düzenli olarak yenileyin ve yalnızca güvenilir kişilerle paylaşın. Genel öneri
  • Arka uç servisleri için en az yetkili anahtarlar kullanın ve yönetim arayüzlerine erişimi ağ düzeyinde kısıtlayın. Genel öneri
  • Sunucu hata yanıtlarındaki beklenmedik artışları izleyin ve bunları uyarı olarak değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
roziscoding jack < 0.1.0 0.1.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.