CVE-2026-47256

OpenTelemetry, znany również jako OTel, to niezależna od dostawcy platforma obserwowalności typu open source służąca do instrumentowania, generowania, zbierania i eksportowania danych telemetrycznych, takich jak ślady, metryki i dzienniki. W wersji wcześniejszej niż 0.154.0 eksporter Sentry odczytuje zdalny atrybut zasobu service.name kontrolowany przez nadawcę OTLP w pliku eksporter/sentryexporter/sentry_exporter.go poprzez ekstraktProjectSlug i getOrCreateProjectEndpoint, przekazuje surowy fragment projektu do GetOTLPEndpoints i GetProjectKeys w pliku eksporter/sentryexporter/sentry_client.go i interpoluje go do obiektu Sentry Adres URL interfejsu API bez zastosowania ProjectSlugRegexp poprzez validRoutingConfig w czasie wykonywania w pliku eksporter/sentryexporter/config.go. Znaki specjalne mogą zamienić oczekiwany sufiks ścieżki w dane zapytania we wszystkich wdrożeniach lub wprowadzić segmenty ukośnika i kropki, które przemierzają ścieżki, gdy wdrożenie Sentry je normalizuje, podczas gdy moduł zbierający dołącza do żądania swój skonfigurowany przez operatora token nośnika. Pomyślne żądanie może dotrzeć do autoryzowanych przez token administracyjnych, organizacji, członków lub kluczowych punktów końcowych w skonfigurowanej organizacji Sentry, a kontrolowany przez osobę atakującą błąd projektu może przekierować później wyeksportowane dane telemetryczne. Oprogramowanie pośredniczące tokenu Sentry uniemożliwia dostęp między organizacjami. Ten problem został rozwiązany w wersji 0.154.0.