CVE-2026-106451 in at.yawk.lz4:lz4-java dependency
Los mantenedores suelen responder en 2 días
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 72/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Activo
- Stack tecnológico
- java
- Área
- build-system, security
Línea de trabajo
La versión vulnerable está fijada como at.yawk.lz4:lz4-java 1.11.1, y el issue apunta a dd-java-agent/instrumentation/kafka/kafka-clients-0.11/gradle.lockfile (que todavía lista 1.10.1). Ejecuta una búsqueda en todo el repositorio de lz4-java para encontrar dónde se declara la versión 1.11.1, y luego revisa cómo el PR #12091 la actualizó. Está terminado cuando cada referencia declarada y bloqueada sea 1.11.4 y el build de Gradle afectado siga resolviendo dependencias y pase.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Tracer Version(s)
1.67.1
Java Version(s)
25.0.4.1
JVM Vendor
Other (please specify in comments)
Bug Report
One of the security tools we use in our projects (Trivy) has identified a vulnerability on Datadog's dd-java-agent-1.67.1.jar for GHSA-mcr4-qmvw-px4g, while using OpenJDK 25.0.4.1.
A suggested fix would be to bump the at.yawk.lz4:lz4-java dependency from version 1.11.1 to 1.11.4, as similarly done in PRs such as #12091 .
Side note: a global search for at.yawk.lz4:lz4-java in this repository also found the version 1.10.1, so not sure if the targeted file should be also regenerated as mentioned in the comments.
Expected Behavior
The dependency at.yawk.lz4:lz4-java is updated to version 1.11.4 mitigating the current vulnerability.
Reproduction Code
No response
- Lenguaje dominante
- Java
- Estrellas
- 736
- Forks
- 364
- Merge medio
- 3 d 8 h
- PR fusionados (30 d)
- 208
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de DataDog/dd-trace-java
-
Update DEFAULT_HTTP_CLIENT_ERROR_STATUSES to include 5xx status codesQuizá libre de nuevo Un pull request para esta issue se cerró sin fusionarse. Abiertotype: feature request
Dificultad 1/5 1-3 horas Aptitud para principiantes 70/100
DataDog/dd-trace-java#10245 · 1 comentario ·
Los mantenedores suelen responder en 2 días
-
type: feature request
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
DataDog/dd-trace-java#12838 · 2 comentarios ·
Los mantenedores suelen responder en 2 días
-
Startup ~2x slower with AOT class linking: agent retransforms ~22k preloaded classes (JDK 25, 1.67.0)Posiblemente ocupada @mcculls la tomó hace 4 días. Abiertotype: bug report
DataDog/dd-trace-java#12795 · 1 comentario · 1 asignado ·
Los mantenedores suelen responder en 2 días
-
gRPC server instrumentations (grpc-1.5, armeria-grpc) don't make extracted W3C baggage current in the handlerPosiblemente ocupada @mcculls la tomó hace 15 días. Abiertocomp: context propagation inst: grpc type: feature request
Dificultad 3/5 1-2 días Aptitud para principiantes 78/100
DataDog/dd-trace-java#12654 · 1 asignado ·
Los mantenedores suelen responder en 2 días
-
Dificultad 4/5 3-5 días Aptitud para principiantes 62/100
DataDog/dd-trace-java#12608 ·
Los mantenedores suelen responder en 2 días
Todos los issues de DataDog/dd-trace-java
Issues similares
-
Flight SQL JDBC parses boolean properties case-sensitively, silently disabling TLS for useEncryption=TRUEPosiblemente ocupada @Arawoof06 la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 79/100
apache/arrow-java#1357 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 77/100
apache/rocketmq-dashboard#6610 ·
Los mantenedores suelen responder en 3 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
MetricsHub/metricshub-community#1396 ·
Los mantenedores suelen responder en 1 día
-
L: java:gradle L: java:maven L: ruby:bundler T: bug 🐞
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
dependabot/dependabot-core#16547 ·
Los mantenedores suelen responder en 1 día
-
Citationcount column sorts alphabetically instead of numericallyPosiblemente ocupada @kpunia306 la tomó hoy. Abiertostatus: needs-triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
JabRef/jabref#17459 · 4 comentarios ·
Los mantenedores suelen responder en 1 día