CVE-2026-55701

Nome do Software Vulnerável e Versões Afetadas opentelemetry-collector-contrib (versões afetadas não especificadas)

Description O manipulador de webhook githubreceiver não aplica a configuração required headers. Embora esses cabeçalhos sejam validados durante a inicialização, eles não são verificados em requisições recebidas na função handleReq(). Este problema é agravado pelo fato de o campo Secret ter como padrão o valor vazio e carecer de validação; quando vazio, a validação HMAC é ignorada. Consequentemente, se um operador confiar exclusivamente no required headers para autenticação sem definir um segredo, o endpoint do webhook permanecerá totalmente desautenticado. Isso permite que um invasor envie payloads de webhook arbitrários para o endpoint e injete dados de rastreamento de CI/CD falsos no pipeline de observabilidade.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.