SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-47256

ŚrednieCVSS 5.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.44%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

W OpenTelemetry przed wersją 0.154.0 eksporter Sentry odczytuje kontrolowany przez zdalnego nadawcę OTLP atrybut zasobu service.name w exporter/sentryexporter/sentry_exporter.go przez extractProjectSlug i getOrCreateProjectEndpoint, przekazuje surowy slug projektu do GetOTLPEndpoints i GetProjectKeys, i interpoluje go do URL API Sentry bez zastosowania projectSlugRegexp przez validateRoutingConfig w czasie działania. Znaki specjalne mogą zmienić oczekiwany sufiks ścieżki w dane zapytania lub wprowadzić segmenty slash i kropka umożliwiające przejście ścieżki.

Ocena ryzyka

Udane żądanie może dotrzeć do autoryzowanych tokenem endpointów administracyjnych, organizacyjnych, członkowskich lub kluczy w skonfigurowanej organizacji Sentry, a kontrolowany slug projektu może przekierować później eksportowaną telemetrię. Middleware tokena Sentry zapobiega dostępowi między organizacjami.

Rekomendacja

Zaktualizuj OpenTelemetry do wersji 0.154.0. Do czasu aktualizacji rozważ ograniczenie uprawnień tokena używanego przez eksporter Sentry.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

OpenTelemetry, also known as OTel, is a vendor-neutral open source Observability framework for instrumenting, generating, collecting, and exporting telemetry data such as traces, metrics, and logs. Prior to 0.154.0, the Sentry exporter reads the remote OTLP sender-controlled service.name resource attribute in exporter/sentryexporter/sentry_exporter.go through extractProjectSlug and getOrCreateProjectEndpoint, passes the raw project slug to GetOTLPEndpoints and GetProjectKeys in exporter/sentryexporter/sentry_client.go, and interpolates it into a Sentry API URL without applying projectSlugRegexp through validateRoutingConfig at runtime in exporter/sentryexporter/config.go. Special characters can turn the expected path suffix into query data in all deployments or introduce slash and dot segments that traverse paths when the Sentry deployment normalizes them, while the Collector attaches its operator-configured bearer token to the request. A successful request can reach token-authorized administrative, organization, member, or key endpoints within the configured Sentry organization, and an attacker-controlled project slug can redirect subsequently exported telemetry. Sentry token middleware prevents cross-organization access. This issue is fixed in version 0.154.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS