CVE-2026-116588：Datadog dd‑trace‑py URL 查詢字串正規表示式引發 ReDOS 漏洞
CVE-2026-116588 - Datadog dd-trace-py: ReDOS in URL query string obfuscation
Datadog 的 Python APM 客戶端 dd‑trace‑py 在 1.5.0 至 3.19.9 與 4.15.6 版中，預設的查詢字串混淆正規表示式會因過度回溯而導致遠端攻擊者造成 CPU 過度使用與服務不可用。
此漏洞可使遠端攻擊者造成 CPU 過度使用，導致 Datadog APM 追蹤服務不可用，升級至 3.19.9 或 4.15.6 可即時修復。
譯文尚未完整，完整內容請切換至原文。
Datadog dd-trace-py 是 Datadog 的 Python APM 客戶端。從 1.5.0 到 3.19.9 以及 4.15.6，預設的查詢字串混淆正規表示式在同步處理攻擊者控制的 URL 查詢字串以生成 HTTP span 資料時，可能會產生過度回溯。遠端攻擊者可造成長時間 CPU 使用、請求延遲及服務不可用，影響包含 URL span 標籤中查詢字串的 HTTP 跟蹤整合。此脆弱處理預設為啟用。此問題已於 3.19.9 與 4.15.6 版本修正。
影響
受影響產品
以下產品受CVE-2026-116588漏洞影響。
即使cvefeed.io瞭解受影響產品的確切版本，該資訊亦未在下表中呈現。
尚未記錄受影響產品
通用漏洞評分系統（Common Vulnerability Scoring System）是評估軟體與系統漏洞嚴重度的標準化框架。 我們從多個來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
更新 dd-trace-py 至已修正的版本，以解決過度 CPU 使用與服務不可用。
- 更新 dd-trace-py 至 3.19.9 或更高版本。
- 更新 dd-trace-py 至 4.15.6 或更高版本。
- 確保 HTTP 跟蹤整合已安全配置。
此處列出精選外部連結，提供有關CVE-2026-116588的深入資訊、實用解決方案及有價值工具。
雖然 CVE 確定了特定的漏洞例項，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-116588 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了對手利用 CVE-2026-116588 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已在 GitHub 釋出的公開漏洞與概念驗證，按最近更新排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為在文章中提及 CVE-2026-116588 漏洞的新聞。
以下表格列出 CVE-2026-116588 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響其嚴重性、可利用性或其他特徵的最新變更。
-
新增 CVE 已收到 由 [email protected]
十月. 26, 2026
Action Type Old Value New Value Added Description Datadog dd-trace-py 是 Datadog 的 Python APM 客戶端。從 1.5.0 到 3.19.9 以及 4.15.6，預設的查詢字串混淆正規表示式在同步處理攻擊者控制的 URL 查詢字串以生成 HTTP span 元資料時，可能會出現過度回溯。遠端攻擊者可造成長時間 CPU 消耗、請求延遲與服務不可用，影響包含 URL span 標籤中的查詢字串的 HTTP 追蹤整合。此脆弱處理在這些整合中預設啟用。此問題已於 3.19.9 與 4.15.6 版本修正。 Added CVSS V4.0 AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X Added CWE CWE-1333 Added Affected New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/116xxx/CVE-2026-116588.json">CVE-2026-116588</a> Added Reference https://github.com/DataDog/dd-trace-py/commit/63ddc3cb07d8813ded7a8b3ab5b8d0f5470e4bfd Added Reference https://github.com/DataDog/dd-trace-py/commit/83ea39845dd95bfb9b8e247c62b3d22fc5dce1ce Added Reference https://github.com/DataDog/dd-trace-py/commit/a6d73607ea45ecd67152630f64b0945556972ed8 Added Reference https://github.com/DataDog/dd-trace-py/pull/20857 Added Reference https://github.com/DataDog/dd-trace-py/pull/20862 Added Reference https://github.com/DataDog/dd-trace-py/pull/20880 Added Reference https://github.com/DataDog/dd-trace-py/releases/tag/v3.19.9 Added Reference https://github.com/DataDog/dd-trace-py/releases/tag/v4.15.6 Added Reference https://github.com/DataDog/dd-trace-py/security/advisories/GHSA-3633-r77q-h3v3
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。