目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-62979— Jack 上游错误响应泄露后端凭证漏洞

一分钟漏洞结论

影响对象
roziscoding jack
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Jack 允许用户通过 Radarr/Sonarr 技术栈以点对点方式共享媒体库。在 0.1.0 版本之前， 会将原始的 对象序列化为 HTTP 响应。 会在上游非成功响应和模式验证失败时附加出站请求头；而 中的公共 字段仍保持可枚举状态，并会在 JSON 序列化时被发出。这些请求头包含了 Radarr/Sonarr 的内部 以及自定义连接器头（如 ）。 仅对日志和追踪跨度（spans）进行脱敏处理，并未覆盖该响应路径。任何拥有共享对等端 API 密钥（若部署需要，还需具备 Cloudflare Access 凭据

CVSS 8.4 · High
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-62979 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
jack: upstream error responses expose backend and peer credentials
来源: CVE Program / CVE List V5
Vulnerability Description
jack lets users share media libraries through their Radarr/Sonarr stack, peer-to-peer. Prior to 0.1.0, `middleware/handle-error.ts` serializes raw `FetchError` objects into HTTP responses. `lib/servers/base.ts` attaches outbound request headers on upstream non-success responses and schema-validation failures; the public `extras` field in `lib/errors/FetchError.ts` remains enumerable and is emitted by JSON serialization. These headers include the internal Radarr/Sonarr `X-Api-Key` and custom connector headers such as `CF-Access-Client-Secret`. `lib/redact.ts` redacts logs and spans but not this response path. Any client with the shared peer API key, plus Cloudflare Access credentials if required by the deployment, can force an error without a race or user interaction. `GET /peer/items/:id` and `GET /servers/health` can expose the internal media-server key, while `GET /torznab/download/:id` can expose another peer's key and Cloudflare Access secrets. The /peer/search and /items routes catch these errors and are not affected. Disclosed internal keys grant full administrative control of the corresponding Radarr/Sonarr instance, crossing the intended boundary between friends' shared peer access and private backend credentials. This issue is fixed in version 0.1.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
roziscoding jack < 0.1.0 -

二、漏洞 CVE-2026-62979 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-62979 的情报信息

请登录查看更多情报信息。

CVE-2026-62979 其他参考 (3)

IV. Related Vulnerabilities

Same weakness: CWE-200