CVE-2026-118259 in opentelemetry-java
Résumé
par VulDB • 28/10/2026
opentelemetry-java est l'implémentation Java de l'API OpenTelemetry pour l'enregistrement des données de télémétrie et du SDK permettant la gestion de ces données enregistrées par l'API. Avant la version 1.67.0, W3CTraceContextPropagator.extract() utilise un traitement basé sur les délimiteurs d'expressions régulières qui peut présenter une rétroaction quadratique (quadratic backtracking) lors de l'analyse des en-têtes tracestate contenant de longues séquences d'espaces ou de tabulations sans virgule suivante. Un attaquant non authentifié dont les en-têtes atteignent la phase d'extraction peut bloquer à répétition les threads de requête ou de boucle d'événements (event-loop) et provoquer une consommation excessive du CPU, l'impact pratique étant limité par les restrictions de taille des en-têtes entrants, la configuration du proxy et le modèle de threading. Ce problème est corrigé dans la version 1.67.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.