CVE-2026-27614

Bugsink özünə məxsus serverdə quraşdırılan xətaların izlənilməsi alətidir. 2.0.13 versiyasından əvvəlki versiyalarda, Bugsink layihəsinə hadisələri göndərə bilən autentifikasiya olunmamış hücumçu, hadisədə ixtiyari JavaScript kodu saxlaya bilər. Faydalı yük (payload) yalnız istifadəçi veb interfeysində təsirə məruz qalmış Stacktrace-ə açıq şəkildə baxdıqda icra olunur. Pygments ona veriləndən daha çox sətir qaytardıqda (Ruby heredoc üslublu girişlərlə tetiklenen məlum bir yuxarı axın xüsusiyyəti), `theme/templatetags/issues.py:75-77` faylındakı `_pygmentize_lines()` funksiyası alternativ olaraq xam giriş sətirlərini qaytarır. Daha sonra 111-113-cü sətirlərdəki `mark_safe()` funksiyası — təmizlənməmiş həmin xam sətirlər də daxil olmaqla — şərtsiz tətbiq edilir. Sentry protokolu üzrə DSN son nöqtələri (endpoints) ictimai olduğu üçün, inyeksiya etmək üçün heç bir hesab tələb olunmur. Faydalı yük, admin hadisəyə baxana qədər verilənlər bazasında qalır. Uğurlu istismarı üçün hücumçunun layihəyə hadisələri göndərə bilməsi (yəni DSN-i bilməsi və ya ondan istifadə edən kliyentə daxil ola bilməsi), Bugsink qəbul nöqtəsinin hücumçu üçün əlçatan olması və administratorun interfeysdə hazırlanmış hadisəyə açıq şəkildə baxması tələb olunur. Bu şərtlər altında hücumçu administratorun brauzerində JavaScript icra edə bilər və Bugsink daxilində həmin istifadəçinin imtiyazları ilə hərəkət edə bilər. Versiya 2.0.13 bu zəifliyi aradan qaldırır.