CVE-2026-50272

WysokieCVSS 7.5

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.79%

Percentyl 56 - wyżej niż 56% wszystkich znanych CVE

Streszczenie

Klient dd-trace (Node.js) dla Datadog nie ogranicza liczby ani rozmiaru elementów w nagłówkach W3C baggage podczas ekstrakcji. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużą liczbą par klucz-wartość lub pojedynczą bardzo dużą wartością, powodując nieograniczone zużycie CPU i pamięci.

Ocena ryzyka

Organizacja narażona jest na zdalną odmowę usługi (DoS) w aplikacjach HTTP używających propagacji baggage, co może zakłócić działanie monitorowanych usług.

Rekomendacja

Należy zaktualizować dd-trace (Node.js) do wersji 5.100.0 lub nowszej, która wprowadza limity DD_TRACE_BAGGAGE_MAX_ITEMS i DD_TRACE_BAGGAGE_MAX_BYTES.

Inne podatności w dd-trace

CVE-2026-116693Wysokie
W dd-trace, kliencie APM Datadog dla Node.js, od wersji 2.0.0 do 5.131.1 i 6.20.1 domyślne wyrażenie DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP może wykonywać nadmierny backtracking na kontrolowanych przez atakującego ciągach zapytań URL. Powoduje to nadmierne zużycie CPU i może zawiesić przetwarzanie żądań, czyniąc aplikację niedostępną.

Oryginalny opis (angielski, źródło NVD)

dd-trace is the Datadog APM client for Node.js. Prior to 5.100.0, W3C baggage propagation in packages/dd-trace/src/baggage.js and packages/dd-trace/src/opentracing/propagation/text_map.js parsed incoming baggage HTTP headers without enforcing DD_TRACE_BAGGAGE_MAX_ITEMS or DD_TRACE_BAGGAGE_MAX_BYTES on extraction. A remote, unauthenticated attacker can send a request whose baggage header contains an arbitrarily large number of comma-separated key-value pairs, or a single very large value, causing unbounded CPU and memory consumption and enabling a remote denial of service against any HTTP service with baggage propagation enabled. This issue is fixed in version 5.100.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS