CVE-2023-36826
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Sentry to platforma do śledzenia błędów i monitorowania wydajności. W wersjach od 8.21.0 do 23.5.2, uwierzytelniony użytkownik mógł pobrać pakiet debugowania lub artefakt z dowolnej organizacji i projektu, znając identyfikator pakietu, bez konieczności posiadania uprawnień.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do poufnych danych, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Zaleca się, aby użytkownicy Sentry Self-Hosted zaktualizowali swoje systemy do wersji 23.5.2 lub wyższej, aby zapewnić odpowiednie kontrole autoryzacji.
Inne podatności w Sentry
Zobacz wszystkie- CVE-2026-42354Krytyczne
Sentry, narzędzie do śledzenia błędów i monitorowania wydajności, w wersjach od 21.12.0 do 26.4.0 zawiera krytyczną podatność w implementacji SAML SSO. Atakujący może przejąć dowolne konto użytkownika, używając złośliwego dostawcy tożsamości SAML i innej organizacji w tej samej instancji Sentry. Aby wykorzystać podatność, konieczna jest znajomość adresu e-mail ofiary. Problem naprawiono w wersji 26.4.1.
- CVE-2021-47935Wysokie
Sentry 8.2.0 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym superużytkownikom na wykonanie dowolnych poleceń poprzez wstrzyknięcie złośliwych obiektów spicklowanych w parametrze danych wpisu dziennika audytu. Atakujący mogą wysyłać spreparowane żądania POST do punktu końcowego dziennika audytu administracyjnego z zakodowanymi w base64 skompresowanymi ładunkami pickle w polu danych, aby uzyskać wykonanie kodu z uprawnieniami aplikacji.
- CVE-2023-39531Średnie
W Sentry, platformie do śledzenia błędów i monitorowania wydajności, występuje podatność, która pozwala atakującemu na uzyskanie ważnego tokena dostępu innego użytkownika podczas wymiany tokenów OAuth. Problem dotyczy wersji od 10.0.0 do przed 23.7.2 z powodu nieprawidłowej walidacji poświadczeń.
- CVE-2023-39349Wysokie
Sentry to platforma do śledzenia błędów i monitorowania wydajności. W wersjach od 22.1.0 do przed 23.7.2, atakujący z dostępem do tokena o ograniczonych uprawnieniach może uzyskać listę wszystkich tokenów stworzonych przez użytkownika, w tym tokenów z większymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Sentry is an error tracking and performance monitoring platform. Starting in version 8.21.0 and prior to version 23.5.2, an authenticated user can download a debug or artifact bundle from arbitrary organizations and projects with a known bundle ID. The user does not need to be a member of the organization or have permissions on the project. A patch was issued in version 23.5.2 to ensure authorization checks are properly scoped on requests to retrieve debug or artifact bundles. Authenticated users who do not have the necessary permissions on the particular project are no longer able to download them. Sentry SaaS users do not need to take any action. Self-Hosted Sentry users should upgrade to version 23.5.2 or higher.