В OpenTelemetry Python нашли уязвимость DoS в Jaeger-пропагаторе

CVE-2026-116694 (CVSS 6.3) в пакете opentelemetry-propagator-jaeger до версии 1.45.0 позволяет удалённо вызвать отказ в обслуживании через заголовки uberctx-* без ограничений на число записей и размер. Версия 1.45.0 вводит лимиты W3C Baggage: 180 записей, 4096 байт на запись и 8192 байта суммарно.

• Уязвимость CWE-770 затрагивает opentelemetry-propagator-jaeger < 1.45.0
• CVSS 4.0 — 6.3, вектор атаки сетевой, без аутентификации
• Патч 1.45.0 ограничивает 180 записей, 4096 Б на запись, 8192 Б всего
• Есть POC-тест в репозитории, случаев эксплуатации в дикой природе нет