CVE-2026-114603
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OpenTelemetry Python udostępnia interfejs API języka Python i zestaw SDK dla OpenTelemetry. W wersjach wcześniejszych niż 1.45.1 funkcja opentelemetry-api TraceState.from_header w opentelemetry/trace/span.py, do której można dotrzeć za pośrednictwem TraceContextTextMapPropagator.extract, analizuje przychodzące nagłówki stanu śledzenia W3C z nieograniczonym wyrażeniem regularnym z opcjonalnymi białymi znakami. Zniekształcony nagłówek zawierający długi ciąg spacji lub tabulatorów bez następującego po nich przecinka powoduje wycofywanie kwadratowe przed zastosowaniem limitu liczby elementów. Usługi korzystające z domyślnego propagatora kontekstu śledzenia W3C mogą zatem poświęcać nadmierny czas procesora na jedno nieuwierzytelnione żądanie, gdy serwer HTTP, analizator składni, brama lub niestandardowy nośnik akceptuje wystarczająco duży nagłówek. Przetwarzanie może zajmować synchroniczny proces roboczy lub opóźniać niepowiązane żądania w tej samej asynchronicznej pętli zdarzeń. Wpływ jest ograniczony do dostępności i nie udostępnia ani nie modyfikuje danych telemetrycznych ani nie umożliwia wykonania kodu. Ten problem został rozwiązany w wersji 1.45.1.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/open-telemetry/opentelemetry-python/blob/main/CHANGELOG.md#version-1451066b1-2026-10-06
- https://github.com/open-telemetry/opentelemetry-python/commit/d5224bf4ffdf2aee1b592ad238dcc32ca957f26b
- https://github.com/open-telemetry/opentelemetry-python/pull/5749
- https://github.com/open-telemetry/opentelemetry-python/releases/tag/v1.45.1
- https://github.com/open-telemetry/opentelemetry-python/security/advisories/GHSA-xcq7-p3pf-p88h
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org