CVE-2026-116693

WysokieCVSS 8.7

Opublikowano: 27/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W dd-trace, kliencie APM Datadog dla Node.js, od wersji 2.0.0 do 5.131.1 i 6.20.1 domyślne wyrażenie DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP może wykonywać nadmierny backtracking na kontrolowanych przez atakującego ciągach zapytań URL. Powoduje to nadmierne zużycie CPU i może zawiesić przetwarzanie żądań, czyniąc aplikację niedostępną.

Ocena ryzyka

Atakujący może zdalnie wywołać atak typu denial of service na instrumentowaną aplikację poprzez spreparowane żądania HTTP. Skutkiem jest spowolnienie lub niedostępność usługi.

Rekomendacja

Zaktualizuj dd-trace do wersji 5.131.1 lub 6.20.1 (lub nowszej). Rozważ dostosowanie lub wyłączenie domyślnego wyrażenia obfuskacji, jeśli nie jest potrzebne.

Inne podatności w dd-trace

CVE-2026-50272Wysokie
Klient dd-trace (Node.js) dla Datadog nie ogranicza liczby ani rozmiaru elementów w nagłówkach W3C baggage podczas ekstrakcji. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużą liczbą par klucz-wartość lub pojedynczą bardzo dużą wartością, powodując nieograniczone zużycie CPU i pamięci.

Oryginalny opis (angielski, źródło NVD)

dd-trace is the Datadog APM client for Node.js. From 2.0.0 until 5.131.1 and 6.20.1, the default DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP can perform excessive backtracking on attacker-controlled URL query strings. The expression is applied synchronously while recording HTTP URL metadata, allowing a crafted request to consume excessive CPU, stall request processing, and make the instrumented application unavailable. This issue is fixed in versions 5.131.1 and 6.20.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS