Seerr 3.5.0 modifie les endpoints API des bibliothèques Plex et Jellyfin et corrige deux fuites de sécurité

Seerr, le gestionnaire de demandes anciennement connu sous le nom de Jellyseerr, a publié la version 3.5.0 le 2026-09-28 (notes de version). Le point principal est un changement d'API cassant, mais les deux correctifs de sécurité sont la partie que la plupart des administrateurs devraient traiter en premier.

Ce qui change

• Les endpoints de bibliothèque n'ont plus d'effets de bord. GET /settings/plex/library et GET /settings/jellyfin/library n'acceptent plus les paramètres de requête sync ou enable, et la simple lecture de la liste des bibliothèques ne modifie plus l'état d'activation d'une bibliothèque.
• De nouvelles routes dédiées remplacent l'ancien comportement. La synchronisation passe désormais par POST /settings/plex/library/sync et POST /settings/jellyfin/library/sync. L'activation ou la désactivation d'une bibliothèque unique utilise PUT /settings/plex/library/{libraryId} et PUT /settings/jellyfin/library/{libraryId}.
• L'interface web utilise déjà les nouveaux endpoints, seuls les scripts, intégrations et clients tiers qui appellent l'API directement sont concernés. Comme l'impact est limité, l'équipe a livré cela dans une version mineure plutôt qu'une version majeure.

Correctifs de sécurité

Deux avis de sécurité sont corrigés dans cette version : GHSA-8j73-j6rc-q8xh, où des identifiants de notification tiers appartenant à d'autres utilisateurs pouvaient fuiter via les endpoints de détail des demandes, et GHSA-xc6j-6p6h-p799, où des objets utilisateur non filtrés (email, plexId, permissions) et le contenu des signalements pouvaient fuiter via mediaInfo sur /movie/:id et /tv/:id.

Autres ajouts

Les requêtes sortantes portent désormais un user agent Seerr, les notifications gagnent la prise en charge des tags ntfy.sh et une option de poster intégré pour Gotify, les règles de remplacement s'appliquent désormais aux demandes avancées, et les paramètres incluent une option pour masquer les médias déjà demandés. Il y a également une zone de recherche utilisateur pour retrouver par nom d'utilisateur ou email, une fonctionnalité de démo, et la prise en charge d'un schéma GUID de fournisseur de métadonnées Plex personnalisé dans le scanner. La liste des corrections de bugs couvre le rafraîchissement de l'avatar Quick Connect, l'import des horodatages PostgreSQL, le statut DELETED d'Overseerr restant après migration, les en-têtes d'autorisation Jellyfin, le masquage du bouton Quick Connect pour les serveurs Emby, et plus encore.

Commentaire pour les auto-hébergeurs

Si vous n'utilisez que l'interface web de Seerr, la mise à jour est peu risquée — mais faites-la rapidement, car les deux fuites corrigées exposent les identifiants de notification et les détails de compte d'autres utilisateurs à quiconque peut atteindre ces endpoints. Le changement d'API est celui à anticiper : auditez les tâches cron, les bots Discord, les tableaux de bord et toute glue maison qui appelle les endpoints de bibliothèque avec sync ou enable, et migrez-les vers les nouvelles routes POST et PUT avant de mettre à jour. La lecture d'une liste de bibliothèques ne devrait jamais réécrire silencieusement votre configuration, donc la nouvelle séparation est la bonne conception. Si votre stack inclut aussi Plex, nos produits Plex valent peut-être un coup d'œil en parallèle de la mise à jour.