Seerr 3.5.0 schimbă endpoint-urile API pentru bibliotecile Plex și Jellyfin și remediază două scurgeri de securitate

Seerr, managerul de cereri cunoscut anterior ca Jellyseerr, a lansat versiunea 3.5.0 pe 2026-09-28 (note de lansare). Elementul principal este o modificare de API care rupe compatibilitatea, dar cele două remedieri de securitate sunt partea pe care majoritatea administratorilor ar trebui să o trateze prima.

Ce s-a schimbat

• Endpoint-urile pentru biblioteci nu mai au efecte secundare. GET /settings/plex/library și GET /settings/jellyfin/library nu mai acceptă parametrii de interogare sync sau enable, iar simpla citire a listei de biblioteci nu mai modifică starea de activare a unei biblioteci.
• Rute dedicate noi înlocuiesc comportamentul vechi. Sincronizarea se face acum prin POST /settings/plex/library/sync și POST /settings/jellyfin/library/sync. Activarea sau dezactivarea unei singure biblioteci folosește PUT /settings/plex/library/{libraryId} și PUT /settings/jellyfin/library/{libraryId}.
• Interfața web folosește deja noile endpoint-uri, așa că sunt afectate doar scripturile, integrările și clienții terți care apelează direct API-ul. Deoarece impactul este limitat, echipa a livrat această modificare într-o versiune minoră, nu într-una majoră.

Remedierea problemelor de securitate

În această versiune sunt remediate două avize: GHSA-8j73-j6rc-q8xh, în care acreditările de notificare ale altor utilizatori puteau fi expuse prin endpoint-urile cu detaliile cererilor, și GHSA-xc6j-6p6h-p799, în care obiecte de utilizator nefiltrate (email, plexId, permisiuni) și conținutul problemelor puteau fi expuse prin mediaInfo la /movie/:id și /tv/:id.

Alte noutăți

Cererile ieșite poartă acum un user agent Seerr, notificările primesc suport pentru etichete ntfy.sh și o opțiune de poster embed pentru Gotify, regulile de suprascriere se aplică acum și cererilor avansate, iar setările includ o opțiune pentru a ascunde media deja solicitată. Există și o casetă de căutare a utilizatorilor după nume de utilizator sau email, o funcție demo și suport pentru o schemă GUID personalizată de furnizor de metadate Plex în scanner. Lista de corecturi acoperă reîmprospătarea avatarului la Quick Connect, importul marcajelor de timp din PostgreSQL, statusul DELETED rămas de la Overseerr după migrare, antetele de autorizare Jellyfin, ascunderea butonului Quick Connect pentru serverele Emby și altele.

Comentariu pentru cei care își găzduiesc singuri serviciile

Dacă folosiți doar interfața web Seerr, actualizarea este cu risc redus — dar faceți-o curând, pentru că cele două scurgeri remediate expun acreditările de notificare și detaliile conturilor altor utilizatori oricui poate accesa acele endpoint-uri. Modificarea de API este cea pentru care trebuie să planificați: verificați joburile cron, boții Discord, dashboard-urile și orice integrare proprie care apelează endpoint-urile pentru biblioteci cu sync sau enable și mutați-le pe noile rute POST și PUT înainte de actualizare. Citirea unei liste de biblioteci nu ar trebui să rescrie niciodată în tăcere configurația, așa că noua separare este designul corect. Dacă stiva voastră include și Plex, merită să aruncați o privire și la produsele noastre pentru Plex odată cu actualizarea.