CVE-2026-27614

Bugsink, kendi sunucunuzda barındırabileceğiniz bir hata takip aracıdır. 2.0.13 öncesindeki sürümlerde, bir Bugsink projesine olaylar gönderebilen kimliği doğrulanmamış bir saldırgan, bir olayın içine rastgele JavaScript depolayabilir. Payload, yalnızca bir kullanıcı etkilenen Stacktrace'i web kullanıcı arayüzünde açıkça görüntülediğinde çalışır. Pygments kendisine verilenden daha fazla satır döndürdüğünde (Ruby heredoc tarzı girdiyle tetiklenen bilinen bir üst akış tuhaflığı), `theme/templatetags/issues.py:75-77` dosyasındaki `_pygmentize_lines()` işlevi ham girdi satırlarını döndürmeye geri döner. Ardından 111-113. satırlardaki `mark_safe()`, bu temizlenmemiş ham satırlar da dahil olmak üzere koşulsuz olarak uygulanır. DSN uç noktaları Sentry protokolü gereği herkese açık olduğundan, enjeksiyon yapmak için herhangi bir hesaba ihtiyaç duyulmaz. Payload, bir yönetici olayı inceleyene kadar veritabanında bekler. Başarılı istismar için; saldırganın projeye olay gönderebilmesi (yani DSN'yi bilmesi veya onu kullanan bir istemciye erişebilmesi), Bugsink alım uç noktasının saldırgan tarafından erişilebilir olması ve bir yöneticinin oluşturulan olayı kullanıcı arayüzünde açıkça görüntülemesi gerekir. Bu koşullar altında saldırgan, yöneticinin tarayıcısında JavaScript çalıştırabilir ve Bugsink içinde o kullanıcının yetkileriyle işlem yapabilir. Versiyon 2.0.13 bu güvenlik açığını giderir.