CVE-2026-24051 in opentelemetry-go

Riassunto

di VulDB • 25/06/2026

OpenTelemetry-Go è l'implementazione in Go di OpenTelemetry. L'SDK Go di OpenTelemetry nelle versioni da v1.20.0 a v1.39.0 è vulnerabile al Path Hijacking (Untrusted Search Paths) sui sistemi macOS/Darwin. Il codice per il rilevamento delle risorse in sdk/resource/host_id.go esegue il comando di sistema ioreg utilizzando un percorso di ricerca. Un attaccante con la capacità di modificare localmente la variabile d'ambiente PATH può ottenere Arbitrary Code Execution (ACE) nel contesto dell'applicazione. Una correzione è stata rilasciata nella versione v1.40.0.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Responsabile: GitHub M
• Prenotare: 20/01/2026
• Divulgazione: 03/02/2026
• Moderazione: accettato
• Voce: VDB-343871
• CPE: pronto
• CWE: CWE-426 (confermato)
• CVSS: 7.0 (CNA)
• EPSS: 0.00157
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-24051
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-24051
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-24051/