CVE-2026-106451 in at.yawk.lz4:lz4-java dependency
Maintainer antworten meist innerhalb von 2 Tagen
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 2/5
- Geschätzter Aufwand
- 1-3 Stunden
- Anfängerfreundlichkeit
- 72/100
- Issue-Typ
- Bug
- Klarheit
- Klar beschrieben
- Aktivitätsstatus
- Aktiv
- Tech-Stack
- java
- Bereich
- build-system, security
Rechercherichtung
Die anfällige Version ist als at.yawk.lz4:lz4-java 1.11.1 festgelegt, und das Issue verweist auf dd-java-agent/instrumentation/kafka/kafka-clients-0.11/gradle.lockfile (die dort noch 1.10.1 aufgeführt ist). Führe eine repositoryweite Suche nach lz4-java durch, um herauszufinden, wo die Version 1.11.1 deklariert ist, und prüfe dann, wie PR #12091 sie angehoben hat. Fertig ist es, wenn jede deklarierte und gesperrte Referenz 1.11.4 ist und der betroffene Gradle-Build weiterhin aufgelöst werden kann und durchläuft.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Tracer Version(s)
1.67.1
Java Version(s)
25.0.4.1
JVM Vendor
Other (please specify in comments)
Bug Report
One of the security tools we use in our projects (Trivy) has identified a vulnerability on Datadog's dd-java-agent-1.67.1.jar for GHSA-mcr4-qmvw-px4g, while using OpenJDK 25.0.4.1.
A suggested fix would be to bump the at.yawk.lz4:lz4-java dependency from version 1.11.1 to 1.11.4, as similarly done in PRs such as #12091 .
Side note: a global search for at.yawk.lz4:lz4-java in this repository also found the version 1.10.1, so not sure if the targeted file should be also regenerated as mentioned in the comments.
Expected Behavior
The dependency at.yawk.lz4:lz4-java is updated to version 1.11.4 mitigating the current vulnerability.
Reproduction Code
No response
- Vorherrschende Sprache
- Java
- Sterne
- 736
- Forks
- 364
- Ø Merge
- 3 T. 13 Std.
- Gemergte PRs (30 T.)
- 213
Entwicklungsumgebung
- Kein Dockerfile und keine Docker-Compose-Datei
- Hat eine Pull-Request-Vorlage
- Beitragsleitfaden lesen
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus DataDog/dd-trace-java
-
Update DEFAULT_HTTP_CLIENT_ERROR_STATUSES to include 5xx status codesEvtl. wieder frei Ein Pull Request dazu wurde ohne Merge geschlossen. Offentype: feature request
Schwierigkeit 1/5 1-3 Stunden Anfängerfreundlichkeit 70/100
DataDog/dd-trace-java#10245 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 2 Tagen
-
Startup ~2x slower with AOT class linking: agent retransforms ~22k preloaded classes (JDK 25, 1.67.0)Evtl. vergeben @mcculls hat das vor 4 Tagen übernommen. Offentype: bug report
DataDog/dd-trace-java#12795 · 1 Kommentar · 1 zugewiesene Person ·
Maintainer antworten meist innerhalb von 2 Tagen
-
gRPC server instrumentations (grpc-1.5, armeria-grpc) don't make extracted W3C baggage current in the handlerEvtl. vergeben @mcculls hat das vor 14 Tagen übernommen. Offencomp: context propagation inst: grpc type: feature request
Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 78/100
DataDog/dd-trace-java#12654 · 1 zugewiesene Person ·
Maintainer antworten meist innerhalb von 2 Tagen
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 62/100
DataDog/dd-trace-java#12608 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
type: bug report
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 35/100
DataDog/dd-trace-java#12597 ·
Maintainer antworten meist innerhalb von 2 Tagen
Alle Issues in DataDog/dd-trace-java
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
quelea-projection/Quelea#711 ·
-
enhancement
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
ShaftHQ/SHAFT_ENGINE#6909 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 72/100
mudler/parakeet.cpp#99 ·
Maintainer antworten meist innerhalb von 1 Tag
-
[BUG] Re-subscribing the Mono returned by listTools/listResources/listResourceTemplates/listPrompts/listRoots duplicates the resultsEvtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
modelcontextprotocol/java-sdk#1174 · 1 Reaktion ·
Maintainer antworten meist innerhalb von 2 Tagen
-
建议在文档中补充逻辑删除与唯一索引冲突的处理方案Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
baomidou/mybatis-plus#7185 ·