Offenlegung von API-Tokens in Sentry

Beschreibung

Sentry ist eine Plattform zur Fehlerverfolgung und Leistungsüberwachung. In den Versionen ab 22.1.0 und vor 23.7.2 kann ein Angreifer mit einem Token mit wenigen oder keinen Berechtigungen über /api/0/api-tokens/ eine Liste aller von einem Benutzer erstellten Tokens abrufen, einschliesslich solcher mit weitergehenden Berechtigungen, und diese in anderen Anfragen verwenden. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 23.7.2.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ivanti EPMM / Sentry / Avalanche

• Ivanti Sentry: OS Command Injection ermöglicht Remote Code Execution als root KEV CVE-2026-10520
• Ivanti EPMM – Remote Code Execution durch fehlerhafte Eingabevalidierung KEV CVE-2026-6973
• Ivanti EPMM – Code Injection KEV CVE-2026-1340
• Ivanti EPM – Authentication Bypass mit Credential-Leak KEV CVE-2026-1603
• Ivanti Endpoint Manager Mobile (EPMM) – Code Injection KEV CVE-2026-1281
• Ivanti EPMM – Authentication Bypass KEV CVE-2025-4427