CVE-2026-128085 (Medium) detected in go.opentelemetry.io/otel/trace-v1.43.0

Offen Anfängerfreundlich
  • Stimmt etwas nicht?
#404 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
65/100
Issue-Typ
Bug
Klarheit
Klar beschrieben
Aktivitätsstatus
Aktiv
Tech-Stack
go
Bereich
backend, security

Rechercherichtung

Das betroffene Modul ist go.opentelemetry.io/otel/trace v1.43.0, aufgeführt in der Abhängigkeitsdatei /engine/go.mod und indirekt eingebunden über github.com/docker/docker. Prüfe zuerst, welcher go.mod-Eintrag die Version festlegt, führe dann go get go.opentelemetry.io/otel/[email protected] aus und danach go mod tidy in /engine. Fertig ist, wenn go.mod und go.sum v1.47.0 zeigen, go build ./... und das bestehende go test ./... erfolgreich durchlaufen und kein anderes otel-Modul mit abweichender Version übrig bleibt.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Mend: dependency security vulnerability

CVE-2026-128085 - Medium Severity Vulnerability

Vulnerable Library - go.opentelemetry.io/otel/trace-v1.43.0

OpenTelemetry Go API and SDK

Library home page: https://proxy.golang.org/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.zip

Sample Path to Dependency File: /engine/go.mod

Path to vulnerable library: /home/wss-scanner/go/pkg/mod/cache/download/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.mod

Dependency Hierarchy:

  • github.com/docker/docker-v28.5.2 (Root Library)
    • ❌ go.opentelemetry.io/otel/trace-v1.43.0 (Vulnerable Library)

Found in base branch: master

Vulnerability Details

OpenTelemetry-Go is the Go implementation of OpenTelemetry. From SDK version 1.33.0, SDK log version 0.9.0, and trace version 1.35.0 until version 1.47.0, the AttributeValueLengthLimit and WithAttributeValueLengthLimit truncation paths in sdk/internal/attrnorm, sdk/log/internal/attrnorm, and trace/auto.go do not count valid U+FFFD replacement characters. This is a distinct incomplete-fix defect in the replacement truncation code introduced by the remediation for CVE-2026-81869. Values composed of or dominated by those characters can therefore exceed the configured character and memory bound in span, log-record, and auto-instrumentation trace attributes. Attacker-controlled telemetry attributes can increase retained memory and pipeline pressure, while confidentiality and integrity are not affected. This issue is fixed in version 1.47.0.

Publish Date: 2026-11-13

URL: CVE-2026-128085

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: None
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/advisories/GHSA-q7gw-24fr-5p69

Release Date: 2026-11-13

Fix Resolution: go.opentelemetry.io/otel/trace - v1.47.0

Step up your Open Source Security Game with Mend here

Vorherrschende Sprache
Go
Sterne
2.8k
Forks
90
Keine gemergten PRs in 30 T.

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus postgres-ai/database-lab-engine

Alle Issues in postgres-ai/database-lab-engine

Ähnliche Issues

Weitere Issues zu Go

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.