CVE-2026-118259 in opentelemetry-java
Sumário
de VulDB • 28/10/2026
opentelemetry-java é a implementação em Java da API OpenTelemetry para gravação de telemetria e do SDK para gerenciar a telemetria gravada pela API. Antes da versão 1.67.0, o método W3CTraceContextPropagator.extract() utiliza processamento delimitador por regex que pode exibir backtracking quadrático ao analisar cabeçalhos tracestate contendo sequências longas de espaços ou tabs sem uma vírgula subsequente. Um atacante não autenticado cujos cabeçalhos alcancem a extração pode bloquear repetidamente as threads de solicitação ou do event-loop e causar consumo excessivo de CPU, com impacto prático limitado pelos limites de tamanho dos cabeçalhos de entrada (ingress), configuração do proxy e threading. Este problema foi corrigido na versão 1.67.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.