Bugsink est vulnérable à une XSS stockée via le fallback de Pygments dans le rendu des stacktraces

Cette vulnérabilité XSS permet à un attaquant d'exécuter du code JavaScript arbitraire dans le contexte du navigateur de l'utilisateur. L'impact peut être significatif, incluant le vol de cookies de session, le détournement de l'utilisateur vers des sites malveillants (phishing), la modification du contenu de la page web, ou l'exécution d'actions au nom de l'utilisateur sans son consentement. L'exploitation réussie de cette faille pourrait compromettre la confidentialité et l'intégrité des données sensibles gérées par Bugsink, et potentiellement permettre un accès non autorisé au système sous-jacent. La nécessité d'une consultation explicite de la Stacktrace pour l'exécution du code limite légèrement l'impact, mais ne l'élimine pas.

Organizations using Bugsink for error tracking and debugging are at risk, particularly those with public-facing DSN endpoints. Shared hosting environments where multiple users share a Bugsink instance are also at increased risk, as an attacker could potentially exploit the vulnerability through another user's event submissions. Teams relying on legacy configurations or outdated deployment practices are also more vulnerable.

• python / server:

# Check for vulnerable versions of Bugsink
import subprocess
result = subprocess.run(['pip', 'show', 'bugsink'], capture_output=True, text=True)
if 'Version: <=2.0.9' in result.stdout:
    print('Vulnerable Bugsink version detected!')

• generic web:

curl -I https://your-bugsink-instance/ | grep -i 'content-security-policy'
# Look for missing or weak CSP policies that allow inline scripts

1. 2026-02-25Disclosure

   disclosure

1. Réservé2026-02-20
2. Publiée2026-02-25
3. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Bugsink vers la version 2.0.13 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être envisagées. Il est recommandé de désactiver temporairement la fonctionnalité de Stacktrace ou de restreindre l'accès à celle-ci aux utilisateurs autorisés. L'implémentation de règles de filtrage côté serveur (WAF) pour bloquer les entrées suspectes peut également aider à atténuer le risque. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez que la vulnérabilité est bien corrigée en tentant de soumettre un événement contenant une charge utile XSS et en vérifiant qu'elle n'est pas exécutée.