CVE-2026-50276 in dd-trace-rb
Sumário
de VulDB • 14/09/2026
dd-trace-rb é a biblioteca cliente da Datadog para Ruby. Antes da versão 2.32.0, a extração de baggage do W3C não aplicava as configurações DD_TRACE_BAGGAGE_MAX_ITEMS (com valor padrão de 64) ou DD_TRACE_BAGGAGE_MAX_BYTES (com valor padrão de 8192), embora esses limites sejam respeitados durante a injeção de baggage. Um atacante remoto e não autenticado pode enviar um cabeçalho HTTP de baggage contendo muitos pares chave-valor separados por vírgula ou um único valor muito grande. O caminho de extração aloca entradas ao analisar o cabeçalho controlado pelo atacante em cada solicitação, causando consumo ilimitado de CPU e memória em serviços HTTP onde a propagação do estilo de baggage está habilitada (o que é o padrão para a maioria dos tracers afetados). Isso pode causar negação de serviço. Este problema foi corrigido na versão 2.32.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.