Ça y est, c’est la rentrée et votre YouTubeur préféré a sorti 15 vidéos pendant vos vacances… Ouin !!! va tout falloir rattraper ! Ou pire, le gars a supprimé ses anciennes vidéos sans prévenir ! Heureusement, c’est le genre de problème que Subarr vient résoudre, et de manière plutôt chouette, vous allez voir.

L’idée derrière Subarr, c’est en fait de transposer la philosophie de Sonarr (qui automatise le téléchargement de séries TV) au monde chaotique de YouTube. Le développeur Derek Antrican a d’ailleurs tellement poussé le concept qu’il a même repris l’interface utilisateur de Sonarr pour que les habitués s’y retrouvent immédiatement. Et après avoir hésité avec le nom “YouTubarr”, il a même opté pour “Subarr”, un clin d’œil aux flux RSS sur lesquels repose tout le système.

Le principe est donc très simple puisqu’au lieu de scraper YouTube comme un bourrin (ce qui vous vaudrait un ban rapide), Subarr utilise les flux RSS officiels que YouTube met à disposition pour chaque playlist et chaîne. Ces flux sont limités aux 15 derniers items, mais Subarr construit sa propre base de données au fil du temps, en gardant une trace de tout ce qui passe. Une fois qu’une nouvelle vidéo est détectée, vous pouvez alors déclencher n’importe quelle action comme envoyer une notification Discord, lancer yt-dlp pour télécharger la vidéo, ou même exécuter un script custom de votre création.

Contrairement à des solutions comme TubeArchivist qui nécessite 4GB de RAM minimum, Subarr est très léger et peut tourner tranquillement sur un Raspberry Pi avec quelques centaines de MB. Le développeur insiste d’ailleurs sur ce point : Il l’a voulu volontairement minimaliste ! Pas de gestion de métadonnées complexes, pas d’interface de lecture intégrée, juste de la surveillance et du déclenchement d’actions.

L’installation se fait en trois commandes :

git clone https://github.com/derekantrican/subarr.git
cd subarr
npm install && npm run start-server

Boom, vous avez votre instance qui tourne sur le port 3000. Par contre, attention, il n’y a aucune authentification intégrée, donc si vous l’exposez sur internet, pensez à mettre un reverse proxy avec auth devant, ou utilisez quelque chose comme Cloudflare Tunnel.

Certains l’utilisent pour archiver automatiquement les chaînes de vulgarisation scientifique avant qu’elles ne disparaissent. D’autres s’en servent pour créer leur propre bibliothèque de tutoriels techniques hors ligne. Et puis il y a ceux qui veulent juste être sûrs de ne jamais rater un épisode de leur podcast vidéo favori, même quand ils partent en vadrouille sans connexion.

Le projet a quand même ses limites, qu’il faut garder en tête. D’abord, si Subarr est down pendant que 20 vidéos sont publiées sur une chaîne, vous allez en louper 5 (rappelez-vous, les flux RSS sont limités à 15 items). Ensuite, c’est vraiment conçu pour du monitoring de nouveautés, pas pour aspirer l’intégralité d’une chaîne existante. Pour ça, yt-dlp en ligne de commande reste plus adapté.

Voilà, entre ArchiveBox qui archive tout le web, les diverses interfaces web pour yt-dlp, et maintenant Subarr qui fait le pont avec l’univers *arr, on a vraiment l’embarras du choix maintenant pour construire son propre “Netflix personnel” alimenté par YouTube.

Et pour ceux qui veulent aller plus loin, il est possible de synchroniser Subarr avec ytsubs.app pour importer automatiquement toutes vos souscriptions YouTube. Vous pouvez aussi utiliser des regex pour filtrer le contenu (pratique pour exclure les Shorts ou les vidéos sponsorisées), et même chaîner plusieurs post-processeurs pour créer des workflows complexes.

Au final, Subarr c’est top pour les accros au self-hosting qui souhaitent reprendre le contrôle sur leur consommation de contenu sans dépendre du bon vouloir de l’algorithme YouTube ou de la stabilité des serveurs de Google. Avec cet outil, vos vidéos préférées seront toujours chez vous, sur votre NAS, accessibles même quand internet flanche.

Merci à Letsar pour le partage.

Bon, si vous utilisez Plex Media Server pour organiser vos films, séries et musiques, il faut que vous sachiez un truc important : une vulnérabilité vient d’être découverte et heureusement corrigée. Et c’est du sérieux, donc vous allez lire cet article et ensuite filer mettre à jour votre Plex !

La vulnérabilité touche les versions 1.41.7.x à 1.42.0.x du Media Server donc si vous êtes sur une de ces versions, il faudra passer à la 1.42.1.10060 ou plus récente maintenant !! Pas demain, hein ! Maintenant.

Plex reste discret sur les détails techniques de cette faille, pas de CVE attribué pour l’instant, pas d’explications détaillées sur ce qui pouvait être exploité. Mais leur communication parle d’elle-même etont même averti directement leurs utilisateurs par email, ce qui est assez rare. Généralement, ils se contentent des notes de version.

Le bug a été signalée via leur programme de bug bounty, ce qui a permis à Plex de corriger le problème avant qu’il ne soit exploité dans la nature et pour mettre à jour, c’est simple comme bonjour. Soit vous passez par l’interface d’administration de votre serveur, soit vous téléchargez la dernière version sur le site officiel de Plex.

Dans les deux cas, ça prend cinq minutes.

En mars 2023, la CISA avait déjà signalé l’exploitation active d’une faille RCE vieille de trois ans (CVE-2020-5741) qui permettait l’exécution de code à distance. Cette faille avait notamment été utilisée dans l’attaque contre LastPass en 2022. Et en 2018, SEC Consult avait révélé plusieurs vulnérabilités incluant des attaques XXE permettant l’accès aux fichiers système et des élévations de privilèges.

C’est pourquoi le message de Plex est important : maintenez vos serveurs à jour car dans un environnement où nos bibliothèques multimédia sont souvent accessibles depuis l’extérieur, une faille de sécurité peut rapidement devenir problématique.

Mieux vaut être en sécurité que désolé, mes amis ! Pensez-y !

Source