CVE-2026-114603

OpenTelemetry Python, OpenTelemetry için Python API ve SDK sağlar. 1.45.1 sürümünden önce, TraceContextTextMapPropagator.extract üzerinden erişilen opentelemetry/trace/span.py dosyasındaki opentelemetry-api fonksiyonu TraceState.from_header, gelen W3C tracestate başlıklarını sınırsız bir isteğe bağlı boşluk düzenli ifadesiyle ayrıştırır. Ardından virgül gelmeyen uzun bir boşluk veya sekme dizisi içeren hatalı biçimlendirilmiş bir başlık, üye sayısı sınırı uygulanmadan önce kuadratik geri izleme (quadratic backtracking) oluşmasına neden olur. Bu nedenle, varsayılan W3C Trace Context yayıcısını kullanan servisler; HTTP sunucusu, ayrıştırıcı, ağ geçidi veya özel taşıyıcı yeterince büyük bir başlığı kabul ettiğinde, kimlik doğrulanmamış tek bir istek üzerinde aşırı CPU zamanı harcayabilir. İşleme süreci, senkron bir çalışanı meşgul edebilir veya aynı asenkron olay döngüsündeki ilgisiz istekleri geciktirebilir. Etki kullanılabilirlikle sınırlıdır; telemetri verilerini ifşa etmez, değiştirmez veya kod çalıştırılmasına izin vermez. Bu sorun 1.45.1 sürümünde düzeltilmiştir.