CVE-2026-116589
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 3.13.0 do 4.15.5 nieprawidłowo obsługuje niektóre błędy wewnętrzne w instrumentacji przetwarzania ciągów IAST podczas formatowania % w starym stylu na danych kontrolowanych przez atakującego. Nieobsłużony błąd może zakończyć proces Pythona i przerwać wykonywaną pracę.
Ocena ryzyka
Atakujący może wywołać awarię procesu aplikacji, powodując odmowę usługi. Wykorzystanie wymaga włączonego IAST (nie jest domyślne) oraz stosowania podatnej operacji formatowania na danych wejściowych od atakującego.
Rekomendacja
Zaktualizuj dd-trace-py do wersji 4.15.5 lub nowszej. Jeśli IAST nie jest potrzebny, pozostaw go wyłączonego.
Inne podatności w dd-trace-py
Zobacz wszystkie- CVE-2026-116588Wysokie
Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 1.5.0 do 3.19.9 oraz do 4.15.6 ma domyślne wyrażenie regularne zaciemniania ciągów zapytań, które może wykazywać nadmierne cofanie podczas synchronicznego przetwarzania ciągów zapytań URL kontrolowanych przez atakującego na potrzeby metadanych spanów HTTP. Zdalny atakujący może spowodować długotrwałe zużycie CPU, opóźnienia żądań i niedostępność usługi.
- CVE-2026-50271Wysokie
Biblioteka dd-trace-py (Python) dla Datadog nie ogranicza liczby ani rozmiaru elementów w nagłówkach W3C baggage podczas ekstrakcji. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużą liczbą par klucz-wartość lub pojedynczą bardzo dużą wartością, powodując nieograniczone zużycie CPU i pamięci.
Oryginalny opis (angielski, źródło NVD)
Datadog dd-trace-py is the Datadog Python APM client. From 3.13.0 until 4.15.5, the IAST string-processing instrumentation does not properly handle certain internal errors while old-style % string formatting processes attacker-controlled input. An unhandled error can terminate the Python process and interrupt the work it is handling. Exploitation requires IAST to be enabled, which is not the default, and application code to apply the affected formatting operation to attacker-controlled input. This issue is fixed in version 4.15.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS