CVE-2025-27513
WysokieStreszczenie
W podatności w pakiecie OpenTelemetry.Api w wersjach od 1.10.0 do 1.11.1 może wystąpić Denial of Service (DoS) w przypadku otrzymania nagłówków tracestate i traceparent. Nawet jeśli aplikacja nie używa propagacji kontekstu śledzenia, otrzymanie tych nagłówków może prowadzić do wysokiego zużycia CPU.
Ocena ryzyka
Podatność ta wpływa na każdą aplikację dostępną przez internet lub usługi backendowe przetwarzające żądania HTTP z nagłówkiem tracestate, co może prowadzić do nadmiernego zużycia zasobów, zwiększonej latencji, pogorszenia wydajności lub przestojów.
Rekomendacja
Zaleca się aktualizację do wersji 1.11.2 lub nowszej, aby usunąć tę podatność.
Powiązane podatności
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
- CVE-2026-86131Krytyczne
Luka wstrzyknięcia kodu w obsłudze konfiguracji klienta BOVPN Over TLS w WatchGuard Fireware OS pozwala atakującemu kontrolującemu zdalny serwer VPN na wykonanie dowolnych poleceń z uprawnieniami root na łączącym się Fireboxie.
- CVE-2026-102794Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w nieznanym fragmencie przetwarzania pliku /api/ZRnetwork/ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-102793Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w funkcji set_time_zone pliku /api/ZRFirmware/set_time_zone. Manipulacja argumentami hostname/zonename powoduje wstrzyknięcie poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-103041Krytyczne
LightLLM do wersji 1.2.0 w wdrożeniach multimodalnych udostępnia nieuwierzytelnioną usługę cache RPyC z włączoną deserializacją pickle na wszystkich interfejsach. Atakujący mogą wysyłać spreparowane obiekty szeregowane do odsłoniętych metod cache, aby wykonać dowolny kod z uprawnieniami usługi.
- CVE-2026-103040Krytyczne
LightLLM do wersji 1.2.0 zawiera podatność zdalnego wykonania kodu w usłudze router profiler, gdy uruchomiono z flagą --enable_profiling. Usługa udostępnia nieuwierzytelniony serwer RPyC z włączoną deserializacją pickle, umożliwiając atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych obiektów szeregowych do kolejki poleceń profilera.
- CVE-2026-102792Krytyczne
Wykryto podatność w Ziroom ZHOME A0101 1.0.1.0. Dotyczy funkcji set_syslog w pliku /api/ZRnetwork/set_syslog. Manipulacja argumentami conloglevel/log_size prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-72510Krytyczne
Parametr "supplier_no" używany w funkcji wyszukiwania alokacji biznesowej jest podatny na czasową ślepą iniekcję SQL.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry dotnet is a dotnet telemetry framework. A vulnerability in OpenTelemetry.Api package 1.10.0 to 1.11.1 could cause a Denial of Service (DoS) when a tracestate and traceparent header is received. Even if an application does not explicitly use trace context propagation, receiving these headers can still trigger high CPU usage. This issue impacts any application accessible over the web or backend services that process HTTP requests containing a tracestate header. Application may experience excessive resource consumption, leading to increased latency, degraded performance, or downtime. This vulnerability is fixed in 1.11.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS