p PatchFirst

CVE-2026-59892

CVE-2026-59892 · OpenTelemetry JavaScript: Denial of service in `JaegerPropagator` via unhandled exception on a malformed header

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenTelemetry JavaScript is the OpenTelemetry JavaScript client. Prior to 2.9.0, @opentelemetry/propagator-jaeger decodes incoming uber-trace-id and uberctx-* HTTP header values with decodeURIComponent() without handling decode errors, allowing an unauthenticated remote attacker to send a malformed percent-encoded value that throws an uncaught URIError and terminates a Node.js process using JaegerPropagator as the active propagator. This issue is fixed in version 2.9.0.

CVSS 7.5 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • opentelemetry-js

    Версии
    • < 2.9.0: Затронуто

    Нет опубликованного исправления

  • @opentelemetry/propagator-jaeger npm

    Затронутые диапазоны версий
    • SEMVER: < 2.9.0

    Обновитесь до 2.9.0

Первоисточники

Проверьте свой сервер →