CVE-2026-118259

Nome do Software Vulnerável e Versões Afetadas opentelemetry-java versões anteriores a 1.67.0

Description A função W3CTraceContextPropagator.extract() utiliza processamento de delimitadores regex que pode exibir backtracking quadrático ao analisar cabeçalhos tracestate contendo longas sequências de espaços ou tabulações sem uma vírgula subsequente. Um invasor não autenticado pode enviar cabeçalhos manipulados para causar consumo excessivo de CPU e bloquear threads de requisição ou de loop de eventos, potencialmente levando a uma negação de serviço. O impacto real é limitado pela configuração do proxy, threading e limites de tamanho de cabeçalho de entrada.

Recommendations Atualize para a versão 1.67.0. Rejeite ou remova cabeçalhos tracestate excessivamente grandes antes da extração do contexto de rastreamento.