Bugsink is vulnerable to Stored XSS via Pygments fallback in stacktrace rendering

Deze XSS-kwetsbaarheid stelt een aanvaller in staat om willekeurige JavaScript-code uit te voeren in de context van een andere gebruiker die de Stacktrace bekijkt. Dit kan leiden tot het stelen van sessiecookies, het wijzigen van de weergave van de applicatie, of het doorsturen van de gebruiker naar kwaadaardige websites. De impact is aanzienlijk, aangezien de kwetsbaarheid ongeauthenticeerd is en het mogelijk maakt om gebruikers te compromitteren zonder inloggegevens. Een succesvolle exploitatie kan leiden tot een verlies van vertrouwelijkheid, integriteit en beschikbaarheid van de applicatie.

Organizations using Bugsink for error tracking and debugging are at risk, particularly those with public-facing DSN endpoints. Shared hosting environments where multiple users share a Bugsink instance are also at increased risk, as an attacker could potentially exploit the vulnerability through another user's event submissions. Teams relying on legacy configurations or outdated deployment practices are also more vulnerable.

• python / server:

# Check for vulnerable versions of Bugsink
import subprocess
result = subprocess.run(['pip', 'show', 'bugsink'], capture_output=True, text=True)
if 'Version: <=2.0.9' in result.stdout:
    print('Vulnerable Bugsink version detected!')

• generic web:

curl -I https://your-bugsink-instance/ | grep -i 'content-security-policy'
# Look for missing or weak CSP policies that allow inline scripts

1. 2026-02-25Disclosure

   disclosure

1. Gereserveerd2026-02-20
2. Gepubliceerd2026-02-25
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar Bugsink versie 2.0.13 of hoger, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan het tijdelijk beperken van de mogelijkheid om events in te dienen een risicovermindering bieden. Controleer de Pygments-configuratie om te zorgen dat deze correct is geconfigureerd en dat er geen overmatige lengtes van input worden toegestaan. Na de upgrade, bevestig de correcte werking door een test event in te dienen en de Stacktrace te bekijken om te controleren of de JavaScript niet wordt uitgevoerd.