CVE-2026-128085 (Medium) detected in go.opentelemetry.io/otel/trace-v1.43.0

Aperta Adatta ai principianti
  • Qualcosa non va?
#404 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
65/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
go
Ambito
backend, security

Direzione di ricerca

Il modulo interessato è go.opentelemetry.io/otel/trace v1.43.0, elencato nel file delle dipendenze /engine/go.mod e incluso indirettamente tramite github.com/docker/docker. Inizia controllando quale voce di go.mod fissa la versione, poi esegui go get go.opentelemetry.io/otel/[email protected] seguito da go mod tidy in /engine. È completato quando go.mod e go.sum mostrano v1.47.0, go build ./... e il go test ./... esistente passano e non resta nessun altro modulo otel con versioni non allineate.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Mend: dependency security vulnerability

CVE-2026-128085 - Medium Severity Vulnerability

Vulnerable Library - go.opentelemetry.io/otel/trace-v1.43.0

OpenTelemetry Go API and SDK

Library home page: https://proxy.golang.org/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.zip

Sample Path to Dependency File: /engine/go.mod

Path to vulnerable library: /home/wss-scanner/go/pkg/mod/cache/download/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.mod

Dependency Hierarchy:

  • github.com/docker/docker-v28.5.2 (Root Library)
    • ❌ go.opentelemetry.io/otel/trace-v1.43.0 (Vulnerable Library)

Found in base branch: master

Vulnerability Details

OpenTelemetry-Go is the Go implementation of OpenTelemetry. From SDK version 1.33.0, SDK log version 0.9.0, and trace version 1.35.0 until version 1.47.0, the AttributeValueLengthLimit and WithAttributeValueLengthLimit truncation paths in sdk/internal/attrnorm, sdk/log/internal/attrnorm, and trace/auto.go do not count valid U+FFFD replacement characters. This is a distinct incomplete-fix defect in the replacement truncation code introduced by the remediation for CVE-2026-81869. Values composed of or dominated by those characters can therefore exceed the configured character and memory bound in span, log-record, and auto-instrumentation trace attributes. Attacker-controlled telemetry attributes can increase retained memory and pipeline pressure, while confidentiality and integrity are not affected. This issue is fixed in version 1.47.0.

Publish Date: 2026-11-13

URL: CVE-2026-128085

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: None
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/advisories/GHSA-q7gw-24fr-5p69

Release Date: 2026-11-13

Fix Resolution: go.opentelemetry.io/otel/trace - v1.47.0

Step up your Open Source Security Game with Mend here

Lingua principale
Go
Stelle
2.8k
Fork
90
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di postgres-ai/database-lab-engine

Tutte le issue di postgres-ai/database-lab-engine

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.