Seerr 3.5.0 cambia los endpoints de biblioteca de Plex y Jellyfin y corrige dos fugas de seguridad

Seerr, el gestor de peticiones antes conocido como Jellyseerr, ha publicado la versión 3.5.0 el 2026-09-28 (notas de la versión). El punto principal es un cambio de API incompatible, pero los dos parches de seguridad son la parte sobre la que la mayoría de administradores debería actuar primero.

Qué ha cambiado

• Los endpoints de biblioteca ya no tienen efectos secundarios. GET /settings/plex/library y GET /settings/jellyfin/library ya no aceptan los parámetros de consulta sync ni enable, y leer simplemente la lista de bibliotecas ya no cambia el estado de habilitación de una biblioteca.
• Nuevas rutas dedicadas sustituyen al comportamiento anterior. La sincronización ahora pasa por POST /settings/plex/library/sync y POST /settings/jellyfin/library/sync. Para habilitar o deshabilitar una sola biblioteca se usa PUT /settings/plex/library/{libraryId} y PUT /settings/jellyfin/library/{libraryId}.
• La interfaz web ya usa los nuevos endpoints, así que solo se ven afectados los scripts, las integraciones y los clientes de terceros que llaman directamente a la API. Como el alcance del impacto es limitado, el equipo lo ha publicado en una versión menor en lugar de una mayor.

Correcciones de seguridad

En esta versión se corrigen dos avisos: GHSA-8j73-j6rc-q8xh, en el que credenciales de notificación de terceros pertenecientes a otros usuarios podían filtrarse a través de los endpoints de detalle de peticiones, y GHSA-xc6j-6p6h-p799, en el que objetos de usuario sin filtrar (email, plexId, permisos) y el contenido de las incidencias podían filtrarse a través de mediaInfo en /movie/:id y /tv/:id.

Otras novedades

Las peticiones salientes ahora llevan un user agent de Seerr, las notificaciones incorporan soporte de etiquetas de ntfy.sh y una opción de póster embebido para Gotify, las reglas de sobrescritura ahora se aplican a las peticiones avanzadas y los ajustes incluyen una opción para ocultar el contenido ya solicitado. También hay un cuadro de búsqueda de usuarios para buscar por nombre de usuario o email, una función de demo y soporte para un esquema personalizado de GUID de proveedor de metadatos de Plex en el escáner. La lista de correcciones de errores cubre la actualización del avatar de Quick Connect, la importación de marcas de tiempo de PostgreSQL, el estado DELETED de Overseerr que quedaba tras la migración, las cabeceras de autorización de Jellyfin, ocultar el botón de Quick Connect en servidores Emby y más.

Comentario para self-hosters

Si solo usas la interfaz web de Seerr, actualizar es una operación de bajo riesgo, pero hazlo pronto, porque las dos fugas corregidas exponen credenciales de notificación y datos de cuenta de otros usuarios a cualquiera que pueda alcanzar esos endpoints. El cambio de API es el que hay que planificar: revisa los cron jobs, los bots de Discord, los paneles y cualquier integración propia que llame a los endpoints de biblioteca con sync o enable, y muévelos a las nuevas rutas POST y PUT antes de actualizar. Leer una lista de bibliotecas nunca debería reescribir tu configuración en silencio, así que la nueva separación es el diseño correcto. Si tu stack también incluye Plex, nuestros productos para Plex pueden merecer un vistazo junto con la actualización.