Bugsink é vulnerável a Stored XSS via Pygments fallback no renderização de stacktraces

Esta vulnerabilidade XSS permite que um atacante execute scripts maliciosos no contexto do navegador de um usuário que visualiza a Stacktrace afetada. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou a modificação da página web exibida. O impacto é significativo, pois a execução do script ocorre no contexto do usuário, permitindo que o atacante acesse informações sensíveis ou realize ações em nome do usuário. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade do sistema.

Organizations using Bugsink for error tracking and debugging are at risk, particularly those with public-facing DSN endpoints. Shared hosting environments where multiple users share a Bugsink instance are also at increased risk, as an attacker could potentially exploit the vulnerability through another user's event submissions. Teams relying on legacy configurations or outdated deployment practices are also more vulnerable.

• python / server:

# Check for vulnerable versions of Bugsink
import subprocess
result = subprocess.run(['pip', 'show', 'bugsink'], capture_output=True, text=True)
if 'Version: <=2.0.9' in result.stdout:
    print('Vulnerable Bugsink version detected!')

• generic web:

curl -I https://your-bugsink-instance/ | grep -i 'content-security-policy'
# Look for missing or weak CSP policies that allow inline scripts

1. 2026-02-25Disclosure

   disclosure

1. Reservado2026-02-20
2. Publicada2026-02-25
3. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Bugsink para a versão 2.0.13, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais. Implemente validação e sanitização rigorosas de todos os dados de entrada, especialmente aqueles relacionados a eventos e Stacktraces. Considere o uso de um Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS comuns. Monitore logs de acesso e erros em busca de atividades suspeitas, como tentativas de injeção de código JavaScript.