CVE-2026-116693
Publiée le 2026-10-27 · Dernière modification le 2026-10-30
La bibliothèque Node.js `dd-trace`, utilisée par Datadog pour la surveillance des performances des applications, est affectée dans les versions 2.0.0 à 5.131.0 ainsi que dans la version 6.20.0. La faille se situe dans une expression régulière utilisée pour masquer les données sensibles dans les chaînes de requête d'URL. Lors du traitement d'une URL spécialement conçue, l'expression déclenche un « backtracking excessif », ce qui force le processeur à travailler de manière exponentiellement plus intense pour trouver une correspondance.
Un attaquant peut exploiter cela pour provoquer un déni de service (DoS) en envoyant une requête malveillante qui bloque l'application et la rend indisponible pour les autres utilisateurs. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être effectuée via le réseau. Bien qu'elle ne compromette pas la confidentialité ou l'intégrité des données, elle impacte directement la disponibilité du service instrumenté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
dd-trace is the Datadog APM client for Node.js. From 2.0.0 until 5.131.1 and 6.20.1, the default DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP can perform excessive backtracking on attacker-controlled URL query strings. The expression is applied synchronously while recording HTTP URL metadata, allowing a crafted request to consume excessive CPU, stall request processing, and make the instrumented application unavailable. This issue is fixed in versions 5.131.1 and 6.20.1.