CVE-2026-118259 in opentelemetry-java
Resumen
por VulDB • 2026-10-28
opentelemetry-java es la implementación en Java de la API de OpenTelemetry para registrar telemetría y del SDK para gestionar la telemetría registrada por la API. Antes de la versión 1.67.0, W3CTraceContextPropagator.extract() utiliza un procesamiento con separadores basados en expresiones regulares que puede presentar una retroalimentación cuadrática (quadratic backtracking) al analizar encabezados tracestate que contienen largas secuencias de espacios o tabulaciones sin una coma posterior. Un atacante no autenticado cuyos encabezados lleguen a la extracción puede bloquear repetidamente los hilos de solicitud o del bucle de eventos y provocar un consumo excesivo de CPU, con un impacto práctico limitado por los límites de tamaño de los encabezados de entrada, la configuración del proxy y el modelo de subprocesamiento. Este problema se corrige en la versión 1.67.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.