CVE-2026-44502
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Bugsink, samodzielnie hostowane narzędzie do śledzenia błędów, przed wersją 2.1.3 zawiera lukę w walidacji URL-i webhooków. Różnica w parsowaniu URL-i między Pythonem a biblioteką requests pozwala na ominięcie walidacji, przez co URL może wydawać się wskazywać dozwolony host publiczny, podczas gdy żądanie HTTP faktycznie trafia do innego serwera.
Ocena ryzyka
Atakujący może przekierować webhooki do złośliwego serwera, co może prowadzić do przechwycenia danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Należy zaktualizować Bugsink do wersji 2.1.3 lub nowszej, która zawiera poprawioną walidację URL-i webhooków.
Inne podatności w Bugsink
Zobacz wszystkie- CVE-2026-47728Średnie
Bugsink to samodzielnie hostowane narzędzie do śledzenia błędów. Przed wersją 2.2.0 Bugsink rozwiązywał sourcemapy i pliki debugowania według identyfikatora debugowania bez ograniczania tego wyszukiwania do projektu, który posiadał przesłane metadane. Uwierzytelniony użytkownik mający dostęp do jednego projektu mógł spowodować, że przetwarzanie zdarzeń w tym projekcie używało metadanych sourcemap/plików debugowania przesłanych dla innego projektu w tej samej instancji Bugsink, jeśli odwoływano się do tego samego identyfikatora debugowania.
- CVE-2026-47716Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której lista zgłoszeń autoryzuje dostęp przez projekt w URL, ale stosuje akcje zbiorcze do zgłoszeń bez sprawdzania, czy należą do tego projektu. Naprawiono w wersji 2.2.0.
- CVE-2026-47715Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której strony zdarzeń zgłoszenia akceptują identyfikator zdarzenia z URL bez sprawdzania, czy należy do zgłoszenia. Użytkownik z dostępem do jednego projektu może przeglądać dane zdarzeń innego projektu. Naprawiono w wersji 2.2.0.
Oryginalny opis (angielski, źródło NVD)
Bugsink is a self-hosted error tracking tool. Prior to 2.1.3, Bugsink’s webhook URL validation could be (partially) bypassed because of a mismatch in URL parsing. The original validation logic parsed webhook URLs with Python’s urllib.parse.urlparse, then sent the request with requests.post. For malformed inputs involving backslashes and @, those components can disagree about where the authority ends and which hostname is the real target. A URL may therefore appear to target an allowlisted public hostname during validation, while the HTTP client actually connects to a different host. This vulnerability is fixed in 2.1.3.