Veille sécuritéBackend & données
P3Élevée
Dans dd-trace-py, l’expression régulière par défaut d’obfuscation des chaînes de requête peut subir un retour arrière excessif lorsqu’elle traite des URL contrôlées par un attaquant, consommant beaucoup de CPU et pouvant ralentir ou interrompre le service. Les versions affectées sont ≥1.5.0 et <3.19.9 dans la branche 3.x, ainsi que ≥4.0.0 et <4.15.6 dans la branche 4.x ; mettre à niveau vers 3.19.9 ou 4.15.6.
Python
IdentifiantCVE-2026-116588
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.19.9 ; 4.15.6
Source : NVD — CVE-2026-116588
Analyse technique
Le traitement vulnérable est synchrone dans les intégrations HTTP qui enregistrent les chaînes de requête dans les tags d’URL des spans.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-26T22:16:55Z, soit le 2026-10-27T00:16:55+02:00, dans la période demandée. L’avis GitHub consulté confirme la faille, les versions corrigées et une publication de l’avis dans cette période.
ImpactDéni de service par consommation excessive de CPU et latence prolongée lors du traitement des requêtes HTTP.
Versions affectées≥1.5.0, <3.19.9 ; ≥4.0.0, <4.15.6
Version corrigée3.19.9 ; 4.15.6
ContournementL’avis GitHub indique une configuration temporaire des variables DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP et DD_TRACE_OBFUSCATION_QUERY_STRING_PATTERN avec l’expression corrigée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
EPSS0,47% · percentile 40,3%
Publication2026-10-27T00:16:55+02:00
Mise à jour2026-10-27T18:03:45+02:00
Action recommandée
Mettre à niveau dd-trace-py vers 3.19.9 ou 4.15.6, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).