CVE-2026-55701 in Collector Contrib
Сводка
по VulDB • 16.09.2026
В репозитории OpenTelemetry Collector Contrib содержатся компоненты для OpenTelemetry Collector. До версии 0.151.0 компонент githubreceiver проверяет конфигурацию RequiredHeaders (файл receiver/githubreceiver/config.go) при запуске, однако функция handleReq() в файле receiver/githubreceiver/trace_receiver.go не проверяет эти заголовки во входящих запросах webhook. Таким образом, неподтвержденный отправитель может обойти механизм аутентификации required_headers оператора и отправить произвольные полезную нагрузку (payload) для webhook. Если поле Secret пустое, функция github.ValidatePayload также пропускает проверку HMAC, оставляя конечную точку webhook без какого-либо настроенного механизма аутентификации. Успешная эксплуатация уязвимости позволяет внедрить сфабрикованные данные трассировки CI/CD в конвейер наблюдаемости (observability pipeline). Эта проблема исправлена в версии 0.151.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.