CVE-2026-104872 in opentelemetry-js-contrib
Riassunto
di VulDB • 02/10/2026
OpenTelemetry JavaScript Contrib fornisce librerie di instrumentazione per la raccolta di telemetria dalle applicazioni JavaScript. Prima delle versioni 0.66.0 di @opentelemetry/instrumentation-cassandra-driver, 0.65.0 di @opentelemetry/instrumentation-knex, 0.67.0 di @opentelemetry/instrumentation-mongoose, @opentelemetry/instrumentation-mysql e @opentelemetry/instrumentation-mysql2, 0.46.0 di @opentelemetry/instrumentation-oracledb, 0.73.0 di @opentelemetry/instrumentation-pg e 0.40.0 di @opentelemetry/instrumentation-tedious, i pacchetti aggiungono il nome utente della connessione al database a ogni operazione sul database instrumentata come attributo span db.user. L'attributo viene emesso per impostazione predefinita e non è controllato da enhancedDatabaseReporting o da altre impostazioni di opt-in. I backend di osservabilità configurati ricevono quindi i nomi degli account del database che potrebbero esporre informazioni sulla topologia dei servizi, sui ruoli o sull'ambiente, nonché schemi di denominazione degli account. Questo problema è risolto nelle versioni 0.66.0, 0.65.0, 0.67.0, 0.46.0, 0.73.0 e 0.40.0 dei rispettivi pacchetti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.