CVE-2026-128085 (Medium) detected in go.opentelemetry.io/otel/trace-v1.43.0

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#404 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
65/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
go
Lĩnh vực
backend, security

Hướng nghiên cứu

Module bị ảnh hưởng là go.opentelemetry.io/otel/trace v1.43.0, được liệt kê trong tệp phụ thuộc /engine/go.mod và được kéo vào gián tiếp qua github.com/docker/docker. Trước tiên, hãy kiểm tra xem mục nào trong go.mod đang ghim phiên bản này, sau đó chạy go get go.opentelemetry.io/otel/[email protected], rồi chạy go mod tidy trong /engine. Công việc hoàn tất khi go.mod và go.sum hiển thị v1.47.0, go build ./... và go test ./... hiện có đều chạy thành công, và không còn module otel nào khác ở phiên bản không khớp.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Mend: dependency security vulnerability

CVE-2026-128085 - Medium Severity Vulnerability

Vulnerable Library - go.opentelemetry.io/otel/trace-v1.43.0

OpenTelemetry Go API and SDK

Library home page: https://proxy.golang.org/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.zip

Sample Path to Dependency File: /engine/go.mod

Path to vulnerable library: /home/wss-scanner/go/pkg/mod/cache/download/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.mod

Dependency Hierarchy:

  • github.com/docker/docker-v28.5.2 (Root Library)
    • ❌ go.opentelemetry.io/otel/trace-v1.43.0 (Vulnerable Library)

Found in base branch: master

Vulnerability Details

OpenTelemetry-Go is the Go implementation of OpenTelemetry. From SDK version 1.33.0, SDK log version 0.9.0, and trace version 1.35.0 until version 1.47.0, the AttributeValueLengthLimit and WithAttributeValueLengthLimit truncation paths in sdk/internal/attrnorm, sdk/log/internal/attrnorm, and trace/auto.go do not count valid U+FFFD replacement characters. This is a distinct incomplete-fix defect in the replacement truncation code introduced by the remediation for CVE-2026-81869. Values composed of or dominated by those characters can therefore exceed the configured character and memory bound in span, log-record, and auto-instrumentation trace attributes. Attacker-controlled telemetry attributes can increase retained memory and pipeline pressure, while confidentiality and integrity are not affected. This issue is fixed in version 1.47.0.

Publish Date: 2026-11-13

URL: CVE-2026-128085

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: None
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/advisories/GHSA-q7gw-24fr-5p69

Release Date: 2026-11-13

Fix Resolution: go.opentelemetry.io/otel/trace - v1.47.0

Step up your Open Source Security Game with Mend here

Ngôn ngữ chính
Go
Star
2.8k
Fork
90
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của postgres-ai/database-lab-engine

Tất cả issue của postgres-ai/database-lab-engine

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.