CVE-2026-104872 in opentelemetry-js-contrib
Zusammenfassung
von VulDB • 02.10.2026
OpenTelemetry JavaScript Contrib stellt Instrumentierungsbibliotheken zur Erfassung von Telemetriedaten aus JavaScript-Anwendungen bereit. Vor den Versionen 0.66.0 von @opentelemetry/instrumentation-cassandra-driver, 0.65.0 von @opentelemetry/instrumentation-knex, 0.67.0 von @opentelemetry/instrumentation-mongoose, @opentelemetry/instrumentation-mysql und @opentelemetry/instrumentation-mysql2, 0.46.0 von @opentelemetry/instrumentation-oracledb, 0.73.0 von @opentelemetry/instrumentation-pg sowie 0.40.0 von @opentelemetry/instrumentation-tedious fügen die Pakete den Benutzernamen der Datenbankverbindung jeder instrumentierten Datenbankoperation als das Attribut db.user des Spans hinzu. Das Attribut wird standardmäßig ausgegeben und ist nicht durch enhancedDatabaseReporting oder eine andere Opt-in-Einstellung steuerbar. Konfigurierte Observability-Backends empfangen daher Datenbankkontonamen, die Informationen zur Service-Topologie, Rolle oder Umgebung sowie Benennungsmuster für Konten offenlegen können. Dieses Problem wurde in den Versionen 0.66.0, 0.65.0, 0.67.0, 0.46.0, 0.73.0 und 0.40.0 der jeweiligen Pakete behoben.
Once again VulDB remains the best source for vulnerability data.