Seerr 3.5.0 ändert Plex- und Jellyfin-Bibliotheks-API-Endpunkte und schließt zwei Sicherheitslücken

Seerr, der Request-Manager, der früher als Jellyseerr bekannt war, hat Version 3.5.0 am 2026-09-28 veröffentlicht (Release Notes). Im Mittelpunkt steht eine Breaking API Change, doch die beiden Sicherheits-Patches sind der Teil, um den sich die meisten Admins zuerst kümmern sollten.

Was sich geändert hat

• Bibliotheksendpunkte haben keine Seiteneffekte mehr. GET /settings/plex/library und GET /settings/jellyfin/library akzeptieren die Query-Parameter sync und enable nicht mehr, und das bloße Abrufen der Bibliotheksliste ändert nicht länger den aktivierten Zustand einer Bibliothek.
• Neue eigene Routen ersetzen das alte Verhalten. Das Synchronisieren läuft jetzt über POST /settings/plex/library/sync und POST /settings/jellyfin/library/sync. Zum Aktivieren oder Deaktivieren einer einzelnen Bibliothek dienen PUT /settings/plex/library/{libraryId} und PUT /settings/jellyfin/library/{libraryId}.
• Die Web-UI nutzt bereits die neuen Endpunkte, betroffen sind also nur Skripte, Integrationen und Drittanbieter-Clients, die die API direkt aufrufen. Da der Auswirkungsbereich begrenzt ist, hat das Team das in einem Minor-Release statt in einem Major-Release ausgeliefert.

Sicherheitsfixes

In diesem Release werden zwei Advisories gepatcht: GHSA-8j73-j6rc-q8xh, bei dem Zugangsdaten für Benachrichtigungen anderer Nutzer über Request-Detail-Endpunkte abfließen konnten, und GHSA-xc6j-6p6h-p799, bei dem ungefilterte User-Objekte (E-Mail, plexId, Berechtigungen) und Issue-Inhalte über mediaInfo auf /movie/:id und /tv/:id abfließen konnten.

Weitere Neuerungen

Ausgehende Requests tragen jetzt einen Seerr-User-Agent, Benachrichtigungen erhalten Unterstützung für ntfy.sh-Tags und eine Embed-Poster-Option für Gotify, Override-Regeln gelten nun auch für Advanced Requests, und die Einstellungen enthalten eine Option, bereits angefragte Medien auszublenden. Außerdem gibt es ein Benutzer-Suchfeld für die Suche nach Benutzername oder E-Mail, eine Demo-Funktion sowie Unterstützung für ein eigenes Plex-Metadata-Provider-GUID-Schema im Scanner. Die Liste der Bugfixes umfasst unter anderem die Aktualisierung des Quick-Connect-Avatars, den Import von PostgreSQL-Timestamps, den übrig gebliebenen Overseerr-Status DELETED nach einer Migration, Jellyfin-Authorization-Header und das Ausblenden des Quick-Connect-Buttons bei Emby-Servern.

Kommentar für Self-Hoster

Wenn du nur die Seerr-Weboberfläche nutzt, ist das Upgrade risikoarm – aber mach es bald, denn die beiden gepatchten Lecks geben die Zugangsdaten für Benachrichtigungen und Kontodetails anderer Nutzer an jeden preis, der diese Endpunkte erreichen kann. Die API-Änderung ist der Punkt, den du einplanen solltest: Prüfe Cronjobs, Discord-Bots, Dashboards und jeden selbstgebauten Kleber, der die Bibliotheksendpunkte mit sync oder enable aufruft, und stelle sie vor dem Upgrade auf die neuen POST- und PUT-Routen um. Das Abrufen einer Bibliotheksliste sollte niemals stillschweigend deine Konfiguration umschreiben, daher ist die neue Aufteilung das richtige Design. Wenn zu deinem Setup auch Plex gehört, lohnt sich neben dem Upgrade vielleicht ein Blick auf unsere Plex-Produkte.