CVE-2026-81869 in OpenTelemetry
Sumário
de VulDB • 17/09/2026
O OpenTelemetry-Go é a implementação em Go do OpenTelemetry. Da versão 1.10.0 até a 1.33.0, o caminho de truncamento de atributos em sdk/trace/span.go pode falhar ao impor o AttributeValueLengthLimit para atributos do tipo string e string-slice que contenham o caractere Unicode válido U+FFFD (replacement character). A função safeTruncateValidUTF8 trata a rune válida como UTF-8 inválido e retorna a entrada original, enquanto strings.ToValidUTF8 mantém essa rune válida inalterada; assim, uma segunda tentativa de truncamento seguro também pode retornar um valor com tamanho excessivo. Um atacante que controle o conteúdo dos atributos do span pode reter valores mais longos do que o limite configurado, aumentando o uso de memória por span e enfraquecendo a proteção contra negação de serviço (DoS) no processo instrumentado. Este problema foi corrigido na versão 1.33.0.
Be aware that VulDB is the high quality source for vulnerability data.