偵測

Sentry Python 程式庫 21.12.x < 26.4.1 不當驗證 （CVE-2026-42354）

critical Nessus Plugin ID 313233

語言:

概要

遠端主機上安裝的 Python 程式庫受到不當驗證弱點的影響。

說明

遠端主機上安裝的 Sentry 版本是 21.12.0 或更新版本，但更早於 26.4.1。因此，其會受到一個弱點的影響：

 - Sentry 的 SAML SSO 實作中存在嚴重弱點。此弱點允許攻擊者使用惡意 SAML 身分識別提供者和相同 Sentry 執行個體上的另一個組織來接管任何使用者帳戶。必須知道受害者的電子郵件地址，才能利用此弱點。只有在自我託管使用者設定了多個組織，且惡意使用者現有的存取權和權限來修改另一個組織的 SSO 設定時，才容易受到攻擊。（CVE-2026-42354）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級至 Sentry 版本或更新版本 26.4.1 。

另請參閱

http://www.nessus.org/u?8eae4054

Plugin 詳細資訊

嚴重性: Critical

ID: 313233

檔案名稱: sentry_CVE-2026-42354.nasl

版本: 1.1

類型: Local

代理程式: windows, macosx, unix

系列: Misc.

已發布: 2026/5/8

已更新: 2026/5/8

組態: 啟用徹底檢查 (optional)

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.0

CVSS v2

風險因素: High

基本分數: 9.4

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS 評分資料來源: CVE-2026-42354

CVSS v3

風險因素: Critical

基本分數: 9.1

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

弱點資訊

CPE: cpe:/a:sentry:sentry

修補程式發佈日期: 2026/4/30

弱點發布日期: 2026/4/30

參考資訊

CVE: CVE-2026-42354

IAVA: 2026-A-0420