CVE-2026-42354
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Sentry, narzędzie do śledzenia błędów i monitorowania wydajności, w wersjach od 21.12.0 do 26.4.0 zawiera krytyczną podatność w implementacji SAML SSO. Atakujący może przejąć dowolne konto użytkownika, używając złośliwego dostawcy tożsamości SAML i innej organizacji w tej samej instancji Sentry. Aby wykorzystać podatność, konieczna jest znajomość adresu e-mail ofiary. Problem naprawiono w wersji 26.4.1.
Ocena ryzyka
Atakujący może przejąć konto dowolnego użytkownika Sentry, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych o błędach i wydajności aplikacji.
Rekomendacja
Należy niezwłocznie zaktualizować Sentry do wersji 26.4.1 lub nowszej.
Inne podatności w Sentry
Zobacz wszystkie- CVE-2026-83803Wysokie
Sentry od wersji 23.11.0 do 26.7.0 z włączoną funkcją relokacji niebezpiecznie deserializuje pole bazy danych podczas importowania archiwum relokacji. Uwierzytelniony użytkownik może przygotować archiwum powodujące wykonanie dowolnego kodu w procesie pracownika importu.
- CVE-2026-83527Wysokie
W Sentry przed wersjami R10.8.2, R10.7.3 i R10.6.4 wykryto podatność umożliwiającą ominięcie uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może uzyskać dostęp na poziomie administracyjnym.
- CVE-2021-47935Wysokie
Sentry 8.2.0 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym superużytkownikom na wykonanie dowolnych poleceń poprzez wstrzyknięcie złośliwych obiektów spicklowanych w parametrze danych wpisu dziennika audytu. Atakujący mogą wysyłać spreparowane żądania POST do punktu końcowego dziennika audytu administracyjnego z zakodowanymi w base64 skompresowanymi ładunkami pickle w polu danych, aby uzyskać wykonanie kodu z uprawnieniami aplikacji.
- CVE-2023-39531Średnie
W Sentry, platformie do śledzenia błędów i monitorowania wydajności, występuje podatność, która pozwala atakującemu na uzyskanie ważnego tokena dostępu innego użytkownika podczas wymiany tokenów OAuth. Problem dotyczy wersji od 10.0.0 do przed 23.7.2 z powodu nieprawidłowej walidacji poświadczeń.
- CVE-2023-39349Wysokie
Sentry to platforma do śledzenia błędów i monitorowania wydajności. W wersjach od 22.1.0 do przed 23.7.2, atakujący z dostępem do tokena o ograniczonych uprawnieniach może uzyskać listę wszystkich tokenów stworzonych przez użytkownika, w tym tokenów z większymi uprawnieniami.
- CVE-2023-36826Wysokie
Sentry to platforma do śledzenia błędów i monitorowania wydajności. W wersjach od 8.21.0 do 23.5.2, uwierzytelniony użytkownik mógł pobrać pakiet debugowania lub artefakt z dowolnej organizacji i projektu, znając identyfikator pakietu, bez konieczności posiadania uprawnień.
Oryginalny opis (angielski, źródło NVD)
Sentry is an error tracking and performance monitoring tool. From version 21.12.0 to before version 26.4.1, a critical vulnerability was discovered in the SAML SSO implementation of Sentry. The vulnerability allows an attacker to take over any user account by using a malicious SAML Identity Provider and another organization on the same Sentry instance. The victim email address must be known in order to exploit this vulnerability. This issue has been patched in version 26.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS