CVE-2026-27614 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Bugsink 存在 **跨站脚本 (XSS)** 漏洞。 💥 **后果**：攻击者注入恶意 JS，管理员查看时触发，导致 **会话劫持** 或 **敏感数据泄露**。

🔍 **CWE**：CWE-79 (跨站脚本)。 🐛 **缺陷**：未对用户提交的 **事件内容** 进行充分过滤，允许存储任意 JavaScript 代码。

📦 **产品**：Bugsink (自托管 Bug 跟踪软件)。 ⚠️ **版本**：**2.0.13 之前** 的所有版本均受影响。

🕵️ **权限**：无需管理员权限，**未验证攻击者** 即可利用。 📊 **数据**：可窃取管理员 Cookie、执行管理员操作，甚至 **完全控制** 后台界面。

📉 **门槛**：**低**。 🔑 **条件**：无需认证 (PR:N)，只需 **用户交互** (UI:R) —— 即诱骗管理员点击或查看特定堆栈跟踪。

🧪 **Exp**：当前 **无公开 PoC** (pocs 为空)。 🌍 **在野**：暂无在野利用报告，但风险极高，需警惕。

🔎 **自查**：检查 Bugsink 版本是否 < 2.0.13。 📝 **特征**：在提交 Bug 事件时，尝试注入 `<script>alert(1)</script>`，若弹窗则中招。

🛡️ **补丁**：**已修复**。 📢 **版本**：升级至 **2.0.13** 或更高版本。 🔗 **参考**：GitHub Security Advisory GHSA-vp6q-7m36-pq3w。

🚧 **临时规避**：若无法升级，限制 **管理员账号** 权限。 🛑 **操作**：禁止普通用户提交包含脚本的事件，或启用严格的 **输入过滤/WAF** 规则。

🔥 **优先级**：**高**。 ⚡ **理由**：CVSS 评分高 (H/C/H)，攻击路径简单 (AV:N/AC:L)，且针对管理员，极易造成 **重大安全事故**。