https://alertas.dupin.com.ar/fabricante/open-telemetry/Alertas de vulnerabilidades de open-telemetry.esMon, 09 Nov 2026 19:46:06 +000010https://alertas.dupin.com.ar/cve/CVE-2026-39883/tg:64314Mon, 09 Nov 2026 19:46:06 +0000Exploit públicoLa corrección de CVE-2026-24051 cambió el comando Darwin ioreg para usar una ruta absoluta, pero dejó el comando BSD kenv con un nombre simple, lo que permite el mismo ataque de secuestro de PATH en plataformas BSD y Solaris. Afecta de 1.15.0 a 1.42.0 y se corrige en 1.43.0.https://alertas.dupin.com.ar/cve/CVE-2026-116694/tg:61616Tue, 27 Oct 2026 21:54:10 +0000VulnerabilidadJaegerPropagator.extract() en opentelemetry-propagator-jaeger procesa valores de baggage uberctx-* entrantes sin límites de cantidad, bytes por entrada ni bytes totales. Un carrier no confiable con muchos valores o valores sobredimensionados puede provocar trabajo de CPU innecesario y asignaciones de heap de corta duración, contribuyendo a una denegación de servicio cuando los límites del transporte no acotan la entrada. Corregido en 1.45.0.https://alertas.dupin.com.ar/cve/CVE-2026-114603/tg:60630Thu, 22 Oct 2026 18:02:03 +0000VulnerabilidadAntes de 1.45.1, la función TraceState.from_header en opentelemetry/trace/span.py, alcanzada mediante TraceContextTextMapPropagator.extract, analiza encabezados tracestate de W3C entrantes con una expresión regular de espacios opcionales sin límite. Un encabezado malformado con una larga secuencia de espacios o tabulaciones sin una coma posterior provoca retroceso cuadrático antes de aplicar el límite de miembros. Los servicios que usan el propagador predeterminado W3C Trace Context pueden consumir tiempo de CPU…