PT-2026-41784
CVE-2026-45679
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenTelemetry eBPF Instrumentation الأقدم من 0.9.0
الوصف
تقوم أداة OpenTelemetry eBPF Instrumentation بتصدير نص خطأ Redis الخام كرسالة حالة النطاق. ونظرًا لأن ردود أخطاء Redis قد تحتوي على قيم حساسة أو بيانات يسيطر عليها المهاجمون، فإن هذا السلوك قد يؤدي إلى تسريب الرموز المميزة أو المعلومات الشخصية القابلة للتعريف (PII) أو أي مدخلات سرية أخرى إلى الخلفيات الخاصة بالقياس عن بُعد. بالإضافة إلى ذلك، فإنه يسمح بحقن نص غير موثوق به في أنظمة التحليل النهائية. تحدث هذه المشكلة لأن الدالة
getRedisError() تقوم بقص مخزن الأخطاء الخام وتخزينه مباشرةً في request.DBError.Description، والذي يتم إرجاعه لاحقًا كرسالة حالة مُصدَّرة لـ Redis spans عندما تكون حالة span غير صفرية، دون أي تنقية بخلاف قص CRLF.التوصيات
قم بالتحديث إلى الإصدار 0.9.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾