CVE-2026-47716

Bugsink przed wersją 2.2.2 przechowuje każdy zestaw niestandardowych tagów dostarczonych z przychodzącym zdarzeniem, co pozwala wywołującemu z ważnym DSN projektu na przesłanie niezwykle dużego zestawu tagów i wymuszenie nadmiernych zapisów wierszy tagów. Ze względu na architekturę bazy danych z pojedynczym zapisem, kosztowna transakcja zapisu opóźnia przetwarzanie innych zdarzeń i powoduje tymczasową odmowę usługi w zakresie pozyskiwania.

Bugsink to samodzielnie hostowane narzędzie do śledzenia błędów. Przed wersją 2.2.0 Bugsink rozwiązywał sourcemapy i pliki debugowania według identyfikatora debugowania bez ograniczania tego wyszukiwania do projektu, który posiadał przesłane metadane. Uwierzytelniony użytkownik mający dostęp do jednego projektu mógł spowodować, że przetwarzanie zdarzeń w tym projekcie używało metadanych sourcemap/plików debugowania przesłanych dla innego projektu w tej samej instancji Bugsink, jeśli odwoływano się do tego samego identyfikatora debugowania.

Bugsink przed wersją 2.2.0 ma podatność, w której strony zdarzeń zgłoszenia akceptują identyfikator zdarzenia z URL bez sprawdzania, czy należy do zgłoszenia. Użytkownik z dostępem do jednego projektu może przeglądać dane zdarzeń innego projektu. Naprawiono w wersji 2.2.0.

Bugsink, samodzielnie hostowane narzędzie do śledzenia błędów, przed wersją 2.1.3 zawiera lukę w walidacji URL-i webhooków. Różnica w parsowaniu URL-i między Pythonem a biblioteką requests pozwala na ominięcie walidacji, przez co URL może wydawać się wskazywać dozwolony host publiczny, podczas gdy żądanie HTTP faktycznie trafia do innego serwera.