Bugsink: バルク操作で他プロジェクトのIssue状態を変更できる脆弱性(CVE-2026-47716)

要約

Bugsinkのバルクアクション機能に認可バイパスの脆弱性が確認された。URLのプロジェクトで認可チェックを行うが、対象Issueがそのプロジェクトのものかどうかをすべきバリデーションが欠如していた。ログイン済みユーザーが他プロジェクトのIssue UUIDを知っている場合に状態変更が可能となる。悪用には有効なUUIDの事前取得が必要なため実際のリスクは低い。修正版では、バルク操作を対象プロジェクト所属のIssueにのみ適用するよう変更された。