CVE-2025-64508 in Bugsink
摘要
由 VulDB • 2026-06-17
Bugsink 是一款自托管的错误跟踪工具。在 2.0.5 版本之前，攻击者可以向服务器发送 brotli “炸弹”（高度压缩的 brotli 流，例如大量零值）。由于服务器在应用各种最大限制之前会尝试解压缩这些流，这可能导致可用内存耗尽，从而引发拒绝服务（DoS）。如果已知 `DSN`（数据源名称），即可利用此漏洞，而在许多常见部署场景（如 JavaScript、移动应用）中，DSN 通常是已知的。该问题已在 Bugsink 版本 `2.0.5` 中得到修复。此漏洞与 Bugsink 中另一个与 brotli 相关的问题 GHSA-rrx3-2x4g-mq2h/CVE-2025-64509 类似，但存在区别。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.