PT-2026-49598
CVE-2026-54285
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @opentelemetry/core الأقدم من 2.8.0
الوصف
تفشل الدالة
W3CBaggagePropagator.extract() في @opentelemetry/core في فرض حدود الحجم عند تحليل رؤوس HTTP الواردة من نوع baggage. في حين توصي مواصفات W3C Baggage بحد أقصى يبلغ 8,192 بايت و180 إدخالًا، لم تُطبق هذه الحدود إلا على مسار inject() الصادر. ونتيجة لذلك، يؤدي تحليل الرؤوس ذات الحجم الزائد إلى تخصيص ذاكرة يتناسب مع حجم الرأس. ويزداد الخطر في عمليات النشر التي تفتقر إلى حدود طبقة النقل، مثل وسائل النقل غير HTTP، أو تطبيقات TextMapGetter المخصصة، أو البيئات التي تم فيها زيادة قيمة --max-http-header-size في Node.js.التوصيات
قم بالتحديث إلى الإصدار 2.8.0 أو أحدث.
تأكد من تكوين حدود حجم الرؤوس على مستوى الخادم أو البوابة.
بالنسبة لوسائل النقل غير HTTP التي تستقبل البيانات المرفقة من مصادر غير موثوق بها، تحقق من صحة حجم المدخلات قبل تمريرها إلى الموزع.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾