CVE-2026-55701 in Collector Contrib
Tóm tắt
Bởi VulDB • 16/09/2026
Kho lưu trữ OpenTelemetry Collector Contrib chứa các thành phần cho OpenTelemetry Collector. Trước phiên bản 0.151.0, githubreceiver xác thực cấu hình RequiredHeaders trong receiver/githubreceiver/config.go khi khởi động, nhưng hàm handleReq() trong receiver/githubreceiver/trace_receiver.go không kiểm tra các tiêu đề này trên các yêu cầu webhook đến. Do đó, một người gửi chưa được xác thực có thể bỏ qua cơ chế xác thực required_headers của nhà vận hành và gửi các tải trọng webhook tùy ý. Khi trường Secret trống, github.ValidatePayload cũng bỏ qua việc xác thực HMAC, khiến điểm cuối webhook không có bất kỳ cơ chế xác thực nào đã cấu hình. Việc khai thác thành công có thể tiêm dữ liệu quan sát (trace) CI/CD giả mạo vào pipeline quan sát. Vấn đề này đã được sửa trong phiên bản 0.151.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.