Relax opentelemetry-api cap (~=1.44.0) to allow 1.45.2 (fixes CVE-2026-114603 / GHSA-xcq7-p3pf-p88h)
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
Start by locating the dependency declarations that cap opentelemetry-* packages at 1.44.0 and check how the SDK, exporters, and instrumentation versions are kept aligned. Verify the updated ranges allow opentelemetry-api 1.45.2 and resolve a compatible stack; run the repository's dependency or test checks.
由索引模型根据 Issue 内容生成。
描述
Summary
sap-cloud-sdk currently caps the OpenTelemetry API at ~=1.44.0. This makes it impossible for downstream projects to upgrade opentelemetry-api to 1.45.2, which fixes a security vulnerability.
Vulnerability
- CVE-2026-114603 / GHSA-xcq7-p3pf-p88h — "OpenTelemetry Python: Unbounded tracestate parsing in opentelemetry-api"
- Severity: Medium
- Fixed in:
opentelemetry-api1.45.2
Impact
Downstream consumers of sap-cloud-sdk (latest 0.66.1) cannot resolve opentelemetry-api>=1.45.2 because of the upstream cap. The only workaround is a dependency override that bumps opentelemetry-api alone while leaving opentelemetry-sdk/exporters/instrumentation on 1.44.0 — a mixed, unsupported OTel stack.
Request
Please bump the OpenTelemetry stack so that opentelemetry-api>=1.45.2 can be resolved — i.e. raise the opentelemetry-* dependency ranges (exporter/instrumentation/sdk) to the versions aligned with opentelemetry-api 1.45.x.
Environment
sap-cloud-sdkversions checked: 0.63.1 (in use) and 0.66.1 (latest) — both pinopentelemetry-api~=1.44.0.
- 主要语言
- Python
- 星标
- 29
- 派生
- 45
- 平均合并
- 2 天 4 小时
- 30 天内合并 PR
- 51
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
SAP/cloud-sdk-python 的其他 Issue
-
难度 4/5 3-5 天 新手友好度 15/100
SAP/cloud-sdk-python#474 ·
维护者通常 1 天内回复
-
bug
难度 4/5 3-5 天 新手友好度 25/100
SAP/cloud-sdk-python#456 ·
维护者通常 1 天内回复
-
难度 4/5 3-5 天 新手友好度 65/100
SAP/cloud-sdk-python#452 ·
维护者通常 1 天内回复
-
How/Whether langgraph-checkpoint-hana would be supported by sap-cloud-sdk?可能已有人在做 @gpretto 于 3 天前认领。 未关闭question
难度 5/5 一周以上 新手友好度 15/100
SAP/cloud-sdk-python#427 · 2 条评论 · 已指派 1 人 ·
维护者通常 1 天内回复
-
`list_mcp_tools` hangs when MCP endpoint returns plain-text error as `text/event-stream`可能重新可做 @cassiofariasmachado 于 54 天前认领，目前没有进行中的 PR。 未关闭bug
SAP/cloud-sdk-python#348 · 1 条评论 · 已指派 1 人 ·
维护者通常 1 天内回复
查看 SAP/cloud-sdk-python 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 66/100
deepchem/deepchem#5289 · 1 条评论 ·
维护者通常 2 天内回复
-
难度 1/5 1 小时以内 新手友好度 75/100
-
难度 2/5 1-3 小时 新手友好度 60/100
UKGovernmentBEIS/inspect_evals#2892 · 1 条评论 ·
维护者通常 1 天内回复
-
Versioning docs: say that no output from the 0.46 warning check means nothing is affected可能已有人在做 @grelinfo 今天认领。 未关闭documentation priority:low size:S
难度 1/5 1 小时以内 新手友好度 72/100
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 88/100
alphacrack/readme2demo#293 ·