CVE-2026-55701 in Collector Contrib
Riassunto
di VulDB • 15/09/2026
Il repository OpenTelemetry Collector Contrib contiene componenti per l'OpenTelemetry Collector. Prima della versione 0.151.0, il githubreceiver convalida la configurazione RequiredHeaders di receiver/githubreceiver/config.go all'avvio, ma la funzione handleReq() in receiver/githubreceiver/trace_receiver.go non verifica tali header nelle richieste webhook in arrivo. Un mittente non autenticato può quindi eludere il controllo di autenticazione required_headers configurato dall'operatore e inviare payload webhook arbitrari. Quando il campo Secret è vuoto, github.ValidatePayload salta anche la convalida HMAC, lasciando l'endpoint webhook privo di entrambi i meccanismi di autenticazione configurati. L'esecuzione riuscita dell'exploit può iniettare dati di traccia CI/CD falsificati nella pipeline di osservabilità (observability). Questo problema è risolto nella versione 0.151.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.