Bugsink は、スタックトレースレンダリングにおける Pygments のフォールバックを介した Stored XSS に脆弱です

このXSS脆弱性を悪用すると、攻撃者はユーザーのブラウザ内で悪意のあるJavaScriptコードを実行できます。これにより、Cookieの窃取、セッションハイジャック、ユーザーのなりすまし、および機密情報の漏洩につながる可能性があります。攻撃者は、Stacktraceの表示を誘導することで、ユーザーを攻撃に誘導できます。この脆弱性は、特に機密情報を含むStacktraceを扱う環境において、重大なリスクをもたらします。Pygmentsの挙動とmark_safe()の誤用が原因で発生しており、同様のテンプレートエンジンにおける入力検証の不備に注意が必要です。

Organizations using Bugsink for error tracking and debugging are at risk, particularly those with public-facing DSN endpoints. Shared hosting environments where multiple users share a Bugsink instance are also at increased risk, as an attacker could potentially exploit the vulnerability through another user's event submissions. Teams relying on legacy configurations or outdated deployment practices are also more vulnerable.

• python / server:

# Check for vulnerable versions of Bugsink
import subprocess
result = subprocess.run(['pip', 'show', 'bugsink'], capture_output=True, text=True)
if 'Version: <=2.0.9' in result.stdout:
    print('Vulnerable Bugsink version detected!')

• generic web:

curl -I https://your-bugsink-instance/ | grep -i 'content-security-policy'
# Look for missing or weak CSP policies that allow inline scripts

1. 2026-02-25Disclosure

   disclosure

1. 予約済み2026-02-20
2. 公開日2026-02-25
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずBugsinkをバージョン2.0.13にアップグレードすることを推奨します。アップグレードが困難な場合は、一時的な回避策として、Stacktraceの表示を制限し、ユーザー入力を厳密に検証するWAF（Web Application Firewall）ルールを実装することを検討してください。また、Pygmentsのバージョンを最新に保ち、Ruby heredoc-style入力に対する処理を強化することも有効です。攻撃の兆候を検知するために、JavaScriptの異常な挙動や、予期しないリクエストを監視するログ分析ルールを導入することも重要です。アップグレード後、Stacktraceの表示が正常に行われ、JavaScriptコードが正しくサニタイズされていることを確認してください。