CVE-2026-50271
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Biblioteka dd-trace-py (Python) dla Datadog nie ogranicza liczby ani rozmiaru elementów w nagłówkach W3C baggage podczas ekstrakcji. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużą liczbą par klucz-wartość lub pojedynczą bardzo dużą wartością, powodując nieograniczone zużycie CPU i pamięci.
Ocena ryzyka
Organizacja narażona jest na zdalną odmowę usługi (DoS) w aplikacjach HTTP używających propagacji baggage, co może zakłócić działanie monitorowanych usług.
Rekomendacja
Należy zaktualizować dd-trace-py do wersji 4.8.2 lub nowszej, która wprowadza limity DD_TRACE_BAGGAGE_MAX_ITEMS i DD_TRACE_BAGGAGE_MAX_BYTES.
Inne podatności w dd-trace-py
Zobacz wszystkie- CVE-2026-116589Wysokie
Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 3.13.0 do 4.15.5 nieprawidłowo obsługuje niektóre błędy wewnętrzne w instrumentacji przetwarzania ciągów IAST podczas formatowania % w starym stylu na danych kontrolowanych przez atakującego. Nieobsłużony błąd może zakończyć proces Pythona i przerwać wykonywaną pracę.
- CVE-2026-116588Wysokie
Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 1.5.0 do 3.19.9 oraz do 4.15.6 ma domyślne wyrażenie regularne zaciemniania ciągów zapytań, które może wykazywać nadmierne cofanie podczas synchronicznego przetwarzania ciągów zapytań URL kontrolowanych przez atakującego na potrzeby metadanych spanów HTTP. Zdalny atakujący może spowodować długotrwałe zużycie CPU, opóźnienia żądań i niedostępność usługi.
Oryginalny opis (angielski, źródło NVD)
Datadog dd-trace-py is the Datadog Python APM client. Prior to 4.8.2, Datadog tracing libraries that implement W3C baggage propagation parse incoming baggage HTTP headers without enforcing DD_TRACE_BAGGAGE_MAX_ITEMS or DD_TRACE_BAGGAGE_MAX_BYTES limits on the extract path. A remote, unauthenticated attacker can send a request whose baggage header contains an arbitrarily large number of comma-separated key-value pairs or a single very large value, causing unbounded CPU and memory consumption and enabling a remote denial of service against HTTP services with baggage propagation enabled. This issue is fixed in version 4.8.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS