CVE-2026-118259 in opentelemetry-java
Zusammenfassung
von VulDB • 28.10.2026
opentelemetry-java ist die Java-Implementierung der OpenTelemetry-API zur Erfassung von Telemetriedaten sowie des SDK zum Verwalten der von der API aufgezeichneten Telemetriedaten. Vor Version 1.67.0 verwendet W3CTraceContextPropagator.extract() eine Regex-Trennzeichenverarbeitung, die beim Parsen von tracestate-Headern mit langen Folgen von Leerzeichen oder Tabs ohne nachfolgendes Komma zu quadratischem Backtracking führen kann. Ein nicht authentifizierter Angreifer, dessen Header den Extraktionsprozess erreichen, kann Anforderungs- oder Event-Loop-Threads wiederholt blockieren und übermäßige CPU-Auslastung verursachen; die praktische Auswirkung wird durch Ingress-Header-Grenzgrößen, Proxy-Konfigurationen und Threading begrenzt. Dieses Problem wurde in Version 1.67.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.