CVE-2026-53954
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Bugsink przed wersją 2.2.2 przechowuje każdy zestaw niestandardowych tagów dostarczonych z przychodzącym zdarzeniem, co pozwala wywołującemu z ważnym DSN projektu na przesłanie niezwykle dużego zestawu tagów i wymuszenie nadmiernych zapisów wierszy tagów. Ze względu na architekturę bazy danych z pojedynczym zapisem, kosztowna transakcja zapisu opóźnia przetwarzanie innych zdarzeń i powoduje tymczasową odmowę usługi w zakresie pozyskiwania.
Ocena ryzyka
Atakujący może spowodować tymczasową niedostępność usługi pozyskiwania zdarzeń, co wpływa na dostępność systemu monitorowania błędów.
Rekomendacja
Zaleca się aktualizację Bugsink do wersji 2.2.2 lub nowszej, która wprowadza limit MAX_EVENT_TAGS przed zapisem.
Inne podatności w Bugsink
Zobacz wszystkie- CVE-2026-47728Średnie
Bugsink to samodzielnie hostowane narzędzie do śledzenia błędów. Przed wersją 2.2.0 Bugsink rozwiązywał sourcemapy i pliki debugowania według identyfikatora debugowania bez ograniczania tego wyszukiwania do projektu, który posiadał przesłane metadane. Uwierzytelniony użytkownik mający dostęp do jednego projektu mógł spowodować, że przetwarzanie zdarzeń w tym projekcie używało metadanych sourcemap/plików debugowania przesłanych dla innego projektu w tej samej instancji Bugsink, jeśli odwoływano się do tego samego identyfikatora debugowania.
- CVE-2026-47716Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której lista zgłoszeń autoryzuje dostęp przez projekt w URL, ale stosuje akcje zbiorcze do zgłoszeń bez sprawdzania, czy należą do tego projektu. Naprawiono w wersji 2.2.0.
- CVE-2026-47715Niskie
Bugsink przed wersją 2.2.0 ma podatność, w której strony zdarzeń zgłoszenia akceptują identyfikator zdarzenia z URL bez sprawdzania, czy należy do zgłoszenia. Użytkownik z dostępem do jednego projektu może przeglądać dane zdarzeń innego projektu. Naprawiono w wersji 2.2.0.
- CVE-2026-44502Średnie
Bugsink, samodzielnie hostowane narzędzie do śledzenia błędów, przed wersją 2.1.3 zawiera lukę w walidacji URL-i webhooków. Różnica w parsowaniu URL-i między Pythonem a biblioteką requests pozwala na ominięcie walidacji, przez co URL może wydawać się wskazywać dozwolony host publiczny, podczas gdy żądanie HTTP faktycznie trafia do innego serwera.
Oryginalny opis (angielski, źródło NVD)
Bugsink is a self-hosted error tracking tool. Prior to version 2.2.2, Bugsink stores every set of custom tags supplied with an incoming event, allowing a caller with a valid project DSN to submit an unusually large tag set and force excessive tag-row writes. Because Bugsink uses a single-writer database architecture, the expensive write transaction delays digestion of other events and causes a temporary ingestion denial of service. Version 2.2.2 applies the configurable MAX_EVENT_TAGS limit before storage. The impact is limited to availability for an instance accepting the event and does not expose stored data, modify existing events, or allow code execution. This issue is fixed in version 2.2.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS