Software-update: SABnzbd 5.1.1

Versie 5.1.1 van SABnzbd is uitgekomen. Met SABnzbd kunnen bestanden van usenet worden gedownload. Dit opensourceprogramma is beschikbaar voor Windows, Linux en macOS, en biedt de mogelijkheid om nzb-bestanden te laden, waarna de juiste bestanden van usenet worden geplukt. Met de ingebouwde webinterface is het mogelijk om het programma via een webbrowser te bedienen. In deze uitgave is een beveiligingsprobleem in de webinterface verholpen, wat belangrijk is indien deze van vanaf het internet bereikbaar is.

Critical authentication vulnerability resolved in 5.1.1 (GHSA-xrfq-jhgh-wqch)

You are only affected if an untrusted party can reach the web interface. By default, SABnzbd is only accessible from your own device and External internet access is set to No access. If either of those is still at its default, or if you use a proxy service for authentication, you are not affected.

If the SABnzbd login page is reachable from outside your network, an attacker could obtain a valid session in version 5.1.0 and earlier, even when SABnzbd is protected with a username and password. This means that all information in SABnzbd would be exposed. If you rely on the SABnzbd username and password to keep out other users on your network or the internet, it is recommended that you change the following sensitive information after applying the update:

• SABnzbd username and password.
• SABnzbd API-key.
• Usenet server passwords.
• API-keys from indexers used within RSS-feeds.
• Authentication information for notification services.

If you cannot update right away, the only mitigations are to ensure the web interface is not reachable by untrusted parties, or to lower External internet access to Full API or below. More information.

Other bug fixes in 5.1.1

• Styling cache issues could occur after updating.
• RSS items were removed too eagerly from RSS-history after download.
• The RSS-feed Clear Downloaded button did not do anything.

Versienummer	5.1.1
Releasestatus	Final
Besturingssystemen	Linux, macOS, Windows 10, Windows 11
Website	SABnzbd
Download	https://sabnzbd.org/downloads
Licentietype	GPL

Reacties (9)

[Boekenworm]

In sabnzbd

• Klik tandwiel rechtsbovenin
• Klik general middenbovenin
• Scroll naar security
• Zet external internet access op no access

[Bor]

Dat is ook de default waarde zoals te lezen in het artikel:

By default, SABnzbd is only accessible from your own device and External internet access is set to No access. If either of those is still at its default, or if you use a proxy service for authentication, you are not affected.

Het is een beetje onduidelijk of de kwetsbaarheid met de default settings alsnog via het locale netwerk. Daar lijkt het wel op:

Internet is defined as “a public IP address”. That access is denied by default.

Local means a private IP address (192.168.x.x, 10.x.x.x and 172.16.x.x). Access from your LAN, virtual machine, docker container, or similar will not lead to External internet access denied unless local_ranges have been defined.

[Reactie gewijzigd door Bor op 19 augustus 2026 08:13]

[witchdoc]

Local means a private IP address (192.168.x.x, 10.x.x.x and 172.16.x.x). Access from your LAN, virtual machine, docker container, or similar will not lead to External internet access denied unless local_ranges have been defined.

betekend ook als je een publieke reverse proxy ervoor hebt staan en die
1) open hebt staan vanaf internet en
2) niet 'juist' hebt ingesteld zodat deze die publieke IP adressen ook doorgeeft aan sabnzbd
je ook impacted bent vanaf internet ook al heb je die external internet access op no access.

[Reactie gewijzigd door witchdoc op 19 augustus 2026 10:14]

[TheDudez]

Dat is standaard all ingesteld. Dit kan vooral belangrijk zijn als je nog niet kan updaten naar de laatste versie als je een nas systeem gebruikt of zo.

[Von Henkel]

Mijn Ugreen NAS update Sabnzbd volledig automatisch.
Deze laat ik elke ochtend checken op een nieuwe versie, als er een is word hij vanzelf geinstalleerd.

[TheDudez]

bij synology is dat niet het geval bijvoorbeeld als je costum packages gebruikt. En het is ook niet altijd handig soms valt er wat om.

[Reactie gewijzigd door TheDudez op 19 augustus 2026 12:22]

[Martinspire]

Of gewoon updaten?

[IrBaboon79]

winget geeft nog 5.04 aan - ach, dan maar even iets meer handmatige akties...

Wel balen; Lui zijn - toch een IT dingetje - is helaas wat minder gefaciliteert... + nog eens extra moeite om hier nog wat te mekkeren... Vandaag alweer genoeg gedaan dus, is het al 17u?