CVE-2026-47728
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Bugsink to samodzielnie hostowane narzędzie do śledzenia błędów. Przed wersją 2.2.0 Bugsink rozwiązywał sourcemapy i pliki debugowania według identyfikatora debugowania bez ograniczania tego wyszukiwania do projektu, który posiadał przesłane metadane. Uwierzytelniony użytkownik mający dostęp do jednego projektu mógł spowodować, że przetwarzanie zdarzeń w tym projekcie używało metadanych sourcemap/plików debugowania przesłanych dla innego projektu w tej samej instancji Bugsink, jeśli odwoływano się do tego samego identyfikatora debugowania.
Ocena ryzyka
Ryzyko polega na możliwości wycieku danych lub manipulacji przetwarzaniem błędów między projektami, co może prowadzić do ujawnienia wrażliwych informacji lub zakłócenia działania aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Bugsink do wersji 2.2.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Bugsink
Zobacz wszystkie- CVE-2026-47716Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której lista zgłoszeń autoryzuje dostęp przez projekt w URL, ale stosuje akcje zbiorcze do zgłoszeń bez sprawdzania, czy należą do tego projektu. Naprawiono w wersji 2.2.0.
- CVE-2026-47715Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której strony zdarzeń zgłoszenia akceptują identyfikator zdarzenia z URL bez sprawdzania, czy należy do zgłoszenia. Użytkownik z dostępem do jednego projektu może przeglądać dane zdarzeń innego projektu. Naprawiono w wersji 2.2.0.
- CVE-2026-44502Średnie
Bugsink, samodzielnie hostowane narzędzie do śledzenia błędów, przed wersją 2.1.3 zawiera lukę w walidacji URL-i webhooków. Różnica w parsowaniu URL-i między Pythonem a biblioteką requests pozwala na ominięcie walidacji, przez co URL może wydawać się wskazywać dozwolony host publiczny, podczas gdy żądanie HTTP faktycznie trafia do innego serwera.
Oryginalny opis (angielski, źródło NVD)
Bugsink is a self-hosted error tracking tool. Prior to 2.2.0, Bugsink resolved sourcemaps and debug files by debug ID without scoping that lookup to the project that owned the uploaded metadata. An authenticated user with access to one project could cause event processing in that project to use sourcemap/debug-file metadata uploaded for another project in the same Bugsink instance, if the same debug ID was referenced. This vulnerability is fixed in 2.2.0.