CVE-2026-44502 in Bugsink
Zusammenfassung
von VulDB • 26.05.2026
Bugsink ist ein selbst gehostetes Tool zur Fehlerverfolgung. Vor Version 2.1.3 konnte die Validierung der Webhook-URL von Bugsink aufgrund einer Diskrepanz bei der URL-Parsing-Logik (teilweise) umgangen werden. Die ursprüngliche Validierungslogik analysierte Webhook-URLs mit Python’s `urllib.parse.urlparse` und sendete die Anfrage anschließend mit `requests.post`. Bei fehlerhaften Eingaben, die Backslashes und @-Zeichen enthalten, können diese Komponenten unterschiedlicher Meinung darüber sein, wo die Authority endet und welcher Hostname das eigentliche Ziel ist. Eine URL kann daher während der Validisierung so aussehen, als würde sie einen öffentlich in der Whitelist geführten Hostnamen ansprechen, während der HTTP-Client tatsächlich eine Verbindung zu einem anderen Host herstellt. Diese Schwachstelle wurde in Version 2.1.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.