Software-update: SABnzbd 5.1.3

Versie 5.1.3 van SABnzbd is uitgekomen. Met SABnzbd kunnen bestanden van usenet worden gedownload. Dit opensourceprogramma is beschikbaar voor Windows, Linux en macOS, en biedt de mogelijkheid om nzb-bestanden te laden, waarna de juiste bestanden van usenet worden geplukt. Met de ingebouwde webinterface is het mogelijk om het programma via een webbrowser te bedienen. De releasenotes voor deze uitgave kunnen hieronder worden gevonden.

Security fixes

SABnzbd 5.1.1, 5.1.2 and 5.1.3 resolve a number of security vulnerabilities. Over the past releases, several security researchers have put a lot of time and effort examining SABnzbd, responsibly reporting their findings, and helping us verify the fixes. We are grateful for their hard work, it has made SABnzbd meaningfully safer for everyone.

For most users the risk is limited: you are only affected if your setup is exposed to untrusted parties. The web interface issues only apply if it can be reached by someone you do not trust. By default, SABnzbd is only accessible from your own device and External internet access is set to No access. If either of those is still at its default, or if you use a proxy service for authentication, you are not affected. The download-processing issues only apply if SABnzbd handles NZBs from a source you do not fully trust, such as a public indexer. If none of that describes your setup, you were never at risk.

The safest action is simply to update to 5.1.3. Full details, affected versions, actions and mitigations for each vulnerability are described at: https://sabnzbd.org/5-1-vulnerabilities

Vulnerabilities resolved:

• GHSA-q326-jpxx-jmjc: __wrapped__ dispatch bypass allows unauthenticated API access, fixed in 5.1.3.
• GHSA-mjwj-v5mr-cmcg: PAR2 symlink bypass allows pickle remote code execution, fixed in 5.1.3.
• GHSA-rgqj-28c2-gxwp: Critical remote code execution via authentication bypass on configuration endpoints, fixed in 5.1.2.
• GHSA-75g3-96fr-7p2r: High-severity path traversal during post-processing via crafted PAR2/SFV files, fixed in 5.1.2.
• GHSA-xrfq-jhgh-wqch: Critical authentication bypass allowing a valid session without credentials, fixed in 5.1.1.

If you rely on the SABnzbd username and password to keep out untrusted parties, and your setup was exposed, it is recommended that you rotate your SABnzbd username/password and API-key, Usenet server passwords, indexer API-keys used in RSS-feeds, and notification service credentials after updating. See the page above for the full guidance.

Other changes and bug fixes in 5.1.3

• Tighten Compact display mode.
• Directly show usenet server errors instead of parsing them.
• Prevent database is locked error when re-evaluating stored RSS jobs.
• Added tooltip to explain search filters in Queue and History.
• Windows and macOS: Updated 7zip to 26.03.

Versienummer	5.1.3
Releasestatus	Final
Besturingssystemen	Linux, macOS, Windows 10, Windows 11
Website	SABnzbd
Download	https://sabnzbd.org/downloads
Licentietype	GPL

Reacties (12)

[CreativeS]

Hoe kom ik van de melding af dat de 'bewaakte' downloadmap op de PC in een netwerk niet gelezen kan worden?

> FOUT 08 sep. 2026 00:14 Bewaakte map \\PC\Downloads kan niet gelezen worden

Ik heb al bij meldingen gekeken, ik kan gewoon op het kruisje klikken, maar ik wil gewoon van deze nutteloze melding af.

[sus]

Blijkbaar zijn er geen leesrechten op die map die via het netwerk benaderd wordt. Dus, dan zal Sab daar elke keer een melding van geven.

Zorgen dat dat netwerkadres werkt dus, en dat Sab daar ook de leesrechten heeft - dan zal de melding ook weg zijn

[CreativeS]

De PC (waar de downloadmap op staat) gaat gewoon uit 's nachts... de veredelde server blijft aan. Logisch dat er geen gehoor wordt gegeven. Ik wil die melding gewoon weg. Dat is wat ik vraag. Alles is in te stellen, behalve dat. En ja... voor de duidelijkheid: ik hoef geen dockers en andere dingen Ik wil gewoon die melding weg hebben.

[Reactie gewijzigd door CreativeS op 8 september 2026 14:17]

[CaDje]

Kun je dan niet beter de "bewaakte map" veranderen naar een map op de Server en dan daar je downloads naar toe kopiëren / direct downloaden? Ik denk namelijk niet dat je anders die melding weg krijgt, gezien die terecht is als je pc uit staat.

[CreativeS]

qBittorent houdt zich toch ook gewoon koest? Zelfde 'bewaakte' downloadmap.

En ik vind het geen 'kritieke' fout dat een netwerkmap niet gelezen kan worden... en dat de melding daarom in beeld moet. Misschien kan @Safihre hier eens naar kijken.

[HollowGamer]

Of je doet het via de API.. daar heb je ook extensies en programma's enzo voor die dat doen voor jouw.

Maar dan moet die persoon er wel voor openstaan. Ik zou gewoon dit soort issues negeren als 'intentional' - want het werkt zoals het moet (je waarschuwen dat het monitor path niet beschikbaar is).

[outlandos]

Heb je dit pas sinds deze versie?

[CreativeS]

Zit er altijd al in... en je kan vele vele meldingen uitschakelen... behalve deze.

[witchdoc]

zelfde als wat ik een poos geleden aanhaalde?
witchdoc in 'SABnzbd 5.0.3'

@Safihre zei jij niet dat dat gefixed ging worden?

[CreativeS]

Het zou onder hetzelfde kunnen vallen ja...

[HollowGamer]

Dit lijkt me een user error, sorry.

\\PC\Downloads is een Windows aanroeping, het verbaast mij dat het werkt eerlijk gezegd. Kan je het niet mappen als een schijfletter? Dan kan je in Instellingen aanzetten dat die moet wachten op dat de schijf beschikbaar is (weet even niet precies waar dat staat).

Op Linux doe ik ook nooit \\PC1\Downloads, maar je mount het echt om juist dit soort dingen niet tegen te komen. Beter is gewoon pushen i.p.v. pollen (wat je nu dus doet).

[Reactie gewijzigd door HollowGamer op 8 september 2026 14:51]

[CreativeS]

Snap ik, maar SabNZB doet de melding. Niks error.