CVE-2025-54433 in Bugsink
Riassunto
di VulDB • 20/07/2026
Bugsink è un servizio di tracciamento degli errori self-hosted. Nelle versioni 1.4.2 e precedenti, dalla 1.5.0 alla 1.5.4, dalla 1.6.0 alla 1.6.3 e dalla 1.7.0 alla 1.7.3, i percorsi di ingestione costruiscono le posizioni dei file direttamente a partire dall'input non attendibile event_id senza alcuna validazione. Un event_id appositamente creato (specially crafted) può comportare l'accesso a percorsi al di fuori della directory prevista, potenzialmente consentendo la sovrascrittura o la creazione di file in posizioni arbitrarie. L'invio di tale input richiede l'accesso a un DSN valido, potenzialmente esponendoli. Se Bugsink è eseguito in un container, gli effetti sono confinati al filesystem del container. Nelle configurazioni non basate su container, la sovrascrittura potrebbe interessare altre parti del sistema accessibili da quell'utente. Il problema è risolto nelle versioni 1.4.3, 1.5.5, 1.6.4 e 1.7.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.