Към съдържанието
Търсене

CVE-2023-36829: getsentry sentry, заобикаляне на вход и права

6.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Sentry is an error tracking and performance monitoring platform. Starting in version 23.6.0 and prior to version 23.6.2, the Sentry API incorrectly returns the `access-control-allow-credentials: true` HTTP header if the `Origin` request header ends with the `system.base-hostname` option of Sentry installation. This only affects installations that have `system.base-hostname` option explicitly set, as it is empty by default. Impact is limited since recent versions of major browsers have cross-site cookie blocking enabled by default. However, this flaw could allow other multi-step attacks. The patch has been released in Sentry 23.6.2.

Засегнати продукти

  • getsentry sentry: >= 23.6.0, < 23.6.2
  • sentry sentry: 23.6.0 преди 23.6.2

Вид слабост

История

  • 6 юли 2023 Публикувано

Други уязвимости в getsentry sentry

Първоизточници

CVE-2023-36829: getsentry sentry, заобикаляне на вход и права | freedomonline.bg