CVE-2026-81869 in OpenTelemetry
Resumen
por VulDB • 2026-09-16
OpenTelemetry-Go es la implementación de OpenTelemetry en Go. Desde la versión 1.10.0 hasta la 1.33.0, el camino de truncamiento de atributos en sdk/trace/span.go puede fallar al aplicar AttributeValueLengthLimit para los atributos string y string-slice que contienen el carácter Unicode válido U+FFFD (reemplazo). safeTruncateValidUTF8 trata este rune de reemplazo válido como UTF-8 no válido y devuelve la entrada original, mientras que strings.ToValidUTF8 deja ese rune válido sin cambios; por lo tanto, un segundo intento de truncamiento seguro también puede devolver el valor excesivamente grande. Un atacante que controle el contenido del atributo span puede conservar valores más largos que el límite configurado, aumentando el uso de memoria por span y debilitando la protección contra denegación de servicio (DoS) en el proceso instrumentado. Este problema se soluciona en la versión 1.33.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.