Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-26004 là lỗ hổng Authorization Bypass Through User-Controlled Key ảnh hưởng tới sentry (phiên bản bị ảnh hưởng: < 26.1.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 5.7. Lỗ hổng này đã có mã hoặc bằng chứng khai thác công khai, nhưng điều đó chưa xác nhận việc khai thác trong thực tế.
Sentry là một công cụ theo dõi lỗi và giám sát hiệu năng hướng đến nhà phát triển. Các phiên bản trước 26.1.0 có lỗ hổng Insecure Direct Object Reference (IDOR) liên tổ chức trong endpoint GroupEventJsonView của Sentry. Phiên bản 26.1.0 vá lỗi này.
< 26.1.0 được xác định là bị ảnh hưởng.26.1.0 được xác định là phiên bản sửa lỗi.Lỗi nằm trong endpoint GroupEventJsonView, nơi tham số group_id do người dùng kiểm soát không được ràng buộc đúng với tổ chức đang được xác thực. Trong triển khai bị ảnh hưởng, phương thức GroupEventJsonView.get gọi get_group_with_redirect mà không truyền đối số organization, vì vậy các kiểm tra quyền theo tổ chức không được áp dụng cho resource được truy vấn. Kiểm tra quyền chỉ dựa trên tổ chức hiện tại và scope event:read, nhưng không xác nhận group thuộc tổ chức đó. Người tấn công cần một tài khoản đã xác thực có quyền event:read trong tổ chức của họ, sau đó có thể gửi yêu cầu mạng tới endpoint với group_id thuộc tổ chức khác. Bản sửa truyền organization vào lời gọi xử lý group và bổ sung kiểm thử bảo đảm truy cập liên tổ chức bị từ chối. Chi tiết triển khai khác ngoài endpoint và luồng kiểm tra quyền này chưa được xác nhận trong bằng chứng hiện có.
Lỗ hổng có thể bị khai thác từ xa qua endpoint HTTP của Sentry và yêu cầu người tấn công đã đăng nhập bằng tài khoản có quyền event:read trong tổ chức của chính họ. Advisory công khai mô tả proof of concept trong đó người dùng không phải administrator thay đổi group_id nhưng giữ slug của tổ chức riêng trong URL để truy cập event của tổ chức khác. Tương tác của người dùng nạn nhân không được yêu cầu trong luồng đã mô tả. Group ID được advisory ghi nhận là có thể đoán tương đối dễ do thường tăng tuần tự, nhưng khả năng này phụ thuộc triển khai và dữ liệu thực tế. Bản ghi xác nhận có public exploit hoặc proof of concept; trạng thái khai thác thực tế trong các môi trường cụ thể vẫn chưa được xác định.
Tác động được xác nhận là mất tính bí mật của event data giữa các tổ chức. Kẻ tấn công cần tài khoản đã xác thực với quyền event:read, nhưng không cần là administrator và không cần người dùng nạn nhân tương tác. Phạm vi ảnh hưởng vượt qua ranh giới tổ chức trong cùng hệ thống Sentry, nên dữ liệu của một tenant có thể bị đọc bởi người dùng thuộc tenant khác. Advisory không mô tả khả năng sửa đổi dữ liệu, nâng quyền, hoặc gây từ chối dịch vụ. Mức độ thiệt hại thực tế phụ thuộc vào loại dữ liệu được ghi trong event payload và thời gian instance đã chạy phiên bản bị ảnh hưởng.
26.1.0, phiên bản được xác định là đã sửa lỗi.26.1.0 có bản vá.GroupEventJsonView từ chối group hoặc event không thuộc tổ chức hiện tại.GroupEventJsonView, đặc biệt khi slug tổ chức trong URL không tương ứng với tổ chức sở hữu group hoặc event được truy vấn.event:read đã truy cập event data ngoài phạm vi tổ chức của họ, nếu hệ thống có ghi lại resource-level authorization hoặc group ownership.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
