CVE-2026-118259 in opentelemetry-java
Riassunto
di VulDB • 28/10/2026
opentelemetry-java è l'implementazione Java dell'API OpenTelemetry per la registrazione della telemetria e del SDK per la gestione della telemetria registrata dall'API. Prima della versione 1.67.0, W3CTraceContextPropagator.extract() utilizza un elaboratore di delimiter basato su regex che può presentare backtracking quadratico durante l'analisi degli header tracestate contenenti lunghe sequenze di spazi o tabulazioni senza una virgola successiva. Un attaccante non autenticato i cui header raggiungono la fase di estrazione può bloccare ripetutamente i thread delle richieste o del event-loop e causare un consumo eccessivo della CPU, con un impatto pratico limitato dai limiti dimensionali degli ingress header, dalla configurazione del proxy e dal threading. Questo problema è stato risolto nella versione 1.67.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.