CVE-2026-116588
Publiée le 2026-10-26 · Dernière modification le 2026-11-02
Le client APM Python de Datadog, `dd-trace-py`, est utilisé pour surveiller les performances des applications. Les versions 1.5.0 à 3.19.8 ainsi que jusqu'à la version 4.15.5 contiennent une faille dans l'expression régulière utilisée pour masquer les données sensibles dans les chaînes de requête d'URL. Lorsque la bibliothèque traite une URL spécialement conçue, elle déclenche un « déni de service par expression régulière » (ReDoS) en raison d'un backtracking excessif.
Un attaquant peut faire planter votre service ou provoquer une latence extrême en envoyant une requête HTTP malveillante, entraînant une perte totale de disponibilité. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être effectuée à distance via le réseau. La confidentialité et l'intégrité restent intactes, car la faille n'impacte que la consommation du processeur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Datadog dd-trace-py is the Datadog Python APM client. From 1.5.0 until 3.19.9 and 4.15.6, the default query-string obfuscation regular expression can exhibit excessive backtracking while synchronously processing attacker-controlled URL query strings for HTTP span metadata. A remote attacker can cause prolonged CPU consumption, request latency, and service unavailability in affected HTTP tracing integrations that include query strings in URL span tags. The vulnerable processing is enabled by default for those integrations. This issue is fixed in versions 3.19.9 and 4.15.6.