Jeśli łączysz Music Assistant z serwerem Jellyfin, token konta, z którego korzysta, mógł odczytać każdy klient z dostępem do biblioteki muzyki. Poprawka Marvina Schenkela trafiła do serwera Music Assistant 23 października 2026 i jeszcze tego samego dnia znalazła się w wydaniu 2.11.0 beta 7. Problem zgłoszono na Discordzie.
Co było widać
Biblioteka aiojellyfin, z której korzysta dostawca Jellyfin, dopisuje api_key=<token> do adresów plików dźwiękowych i okładek. Music Assistant zapisywał te adresy bez zmian:
- jako link do utworu u dostawcy, czyli pełny adres strumienia, który interfejs WWW otwiera po kliknięciu „open provider link”;
- jako ścieżki do okładek.
Jedno i drugie trafia do klientów API, więc każdy z dostępem do biblioteki mógł wyciągnąć token z adresu. To token konta Jellyfin ustawionego u dostawcy, a według opisu poprawki często jest to konto administratora.
Co się zmieniło
- Link do utworu prowadzi teraz do jego strony w interfejsie WWW Jellyfina, a nie do strumienia.
- Ścieżki okładek są zapisywane bez tokenu. Gdy ktoś prosi o obrazek, Music Assistant dokleja token po stronie serwera i robi to tylko dla adresów skonfigurowanego serwera Jellyfin.
Wpisy w bibliotece zapisane przed poprawką wciąż zawierają stary token, a poprawka ich nie zmienia. Poprawka liczy na to, że zadziała Jellyfin: gdy dostawca zaloguje się ponownie z tym samym identyfikatorem urządzenia, poprzedni token przestaje być ważny i stare kopie stają się bezużyteczne.
Która wersja ma poprawkę
Poprawka jest w Music Assistant 2.11.0 beta 7, wydanym 23 października 2026. W opisie zmian stabilnego wydania 2.10.8, które ukazało się kilka godzin wcześniej tego samego dnia, tej poprawki nie ma. Jeśli korzystasz z wersji stabilnej i udostępniasz Music Assistant innym osobom, pamiętaj, że mogą one widzieć token, dopóki poprawka nie trafi do wydania stabilnego.