Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-1333

CVE-2026-116693

dd-trace-js: URL sorgu dizesi gizleme ifadesinde ReDoS zafiyeti

DataDog dd-trace-js

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamalarınızın performans izleme aracında bulunan bir hizmet kesintisi riskidir. Kötü niyetli bir kişi tek bir özel hazırlanmış istekle uygulamanızı yavaşlatabilir ya da devre dışı bırakabilir. Etkilenen sürümler hızla güncellenmelidir.

ÖzetTürkçe

Datadog dd-trace-js, Node.js uygulamalarını izlemek için kullanılan APM istemcisidir. 2.0.0 ile 5.131.1 (ve 6.20.1) öncesi sürümlerde, varsayılan DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP düzenli ifadesi saldırgan kontrolündeki URL sorgu dizelerinde aşırı geri izleme (backtracking) yapabilmektedir. Bu ifade HTTP URL bilgileri kaydedilirken eşzamanlı olarak çalıştığı için etkilenen sistemler izlenen uygulamalarda risk altındadır.

Saldırgan ne yapabilir?

Saldırgan özel hazırlanmış bir istekle işlemci kullanımını aşırı artırabilir, istek işlemeyi durdurabilir ve izlenen uygulamanın hizmet dışı kalmasına neden olabilir.

Kaynaktaki açıklama (İngilizce)

dd-trace is the Datadog APM client for Node.js. From 2.0.0 until 5.131.1 and 6.20.1, the default DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP can perform excessive backtracking on attacker-controlled URL query strings. The expression is applied synchronously while recording HTTP URL metadata, allowing a crafted request to consume excessive CPU, stall request processing, and make the instrumented application unavailable. This issue is fixed in versions 5.131.1 and 6.20.1.

Ne yapmalı?

  1. dd-trace-js paketini 5.131.1 veya 6.20.1 ve sonrası bir sürüme yükseltin. Genel öneri
  2. Uygulamayı yeniden başlatarak güncellemenin devreye girmesini sağlayın ve güncelleme sonrası istek işleme sürelerini izleyin. Genel öneri

Ek önlemler

  • Dış dünyaya açık uygulamalarda sorgu dizesi uzunluğunu sınırlayan ters vekil sunucu veya web güvenlik duvarı kuralları kullanın. Genel öneri
  • Uygulamanın CPU kullanımındaki ani artışları ve istek gecikmelerini izleyerek olağandışı davranışları erken fark edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
DataDog dd-trace-js Sürüm belirtilmemiş –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.