CVE-2026-44902highCWE-755

CVE-2026-44902: falha de alta gravidade em open-telemetry opentelemetry-js

opentelemetry-js: Prometheus exporter process crash via malformed HTTP request

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar opentelemetry-js+ Monitorar auto-instrumentations-node

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.5%
opentelemetry-js is the OpenTelemetry JavaScript Client. Prior to 0.217.0, a single malformed HTTP request crashes any Node.js process running the OpenTelemetry JS Prometheus exporter. The metrics endpoint (default 0.0.0.0:9464) has no error handling around URL parsing, so a request with an invalid URI causes an uncaught TypeError that terminates the process. This vulnerability is fixed in 0.217.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
@opentelemetry · auto-instrumentations-node@opentelemetry · exporter-prometheus@opentelemetry · sdk-nodeopen-telemetry · opentelemetry-js