CVE-2026-116589

🎯 CVE-2026-116589 🧪 PoC 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2026-116589 | Datadog dd-trace-py is the Datadog Python APM client. From 3.13.0 until 4.15.5, the IAST string-processing instrumentation does not properly handle certain internal errors while old-style % string formatting processes attacker-controlled input. An unhandled error can terminate the Python process and interrupt the work it is handling. Exploitation requires IAST to be enabled, which is not the default, and application code to apply the affected formatting oper

Datadog dd-trace-py is the Datadog Python APM client. From 3.13.0 until 4.15.5, the IAST string-processing instrumentation does not properly handle certain internal errors while old-style % string formatting processes attacker-controlled input. An unhandled error can terminate the Python process and interrupt the work it is handling. Exploitation requires IAST to be enabled, which is not the default, and application code to apply the affected formatting operation to attacker-controlled input. This issue is fixed in version 4.15.5.

Klassifikation & Betroffenheit:

CWE-248 DataDog dd-trace-py 3.13.0, < 4.15.5

Uncaught Exception

An exception is thrown from a function, but it is not caught.

🛡️ Empfohlene Mitigation: The choice between a language which has named or unnamed exceptions needs to be done. While unnamed exceptions exacerbate the chance of not properly dealing with an exception, named exceptions suffer from the up call version of the weak base class problem.

Vollständige Definition bei MITRE ➔

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-33728 9.3 CVE-2024-42037 9.3 CVE-2025-53620 9.2 CVE-2025-0657 8.8 CVE-2026-116693 8.7

🩹 Patch verfügbar (OSV):

🩹 8da5bb7f4c9e622fba8c4c3b37bb0cc92796d6ce (Commit) 🩹 69dc19853247434ceab83e0c1c4e279a2eb2a3f7 (Commit)

📰 Eigene Berichterstattung: ➔ CVE-2026-116589 | Datadog dd-trace-py up to 4.15.4 IAST string-processing instru

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 10/2026

Heute 09.11.

CVSS-Vektor-Analyse: 8.2

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Keine

UI · Interaktion Keine

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

CNA-Bewertung (GitHub_M): 8.2 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA…

Veröffentlicht:26.10.2026

Aktualisiert:31.10.2026 01:53

Assigner (CNA):GitHub_M

EUVD-ID:EUVD-2026-110470

EPSS-Verlauf (5 Messungen)

CWE-248 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.139	3,2 %
<10 %	396.072	95,8 %

Tier

CVEs

Anteil

≥90 %

785

0,2 %

≥50 %

3.559

0,9 %

≥10 %

13.139

3,2 %

<10 %

396.072

95,8 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

8.2 HIGH

EPSS

0.3%

CVE-2026-116589 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

DataDog

CVE-2026-116589 | Datadog dd-trace-py is the Datadog Python APM client. From 3.13.0 until 4.15.5, the IAST string-processing instrumentation does not properly handle certain internal errors while old-style % string formatting processes attacker-controlled input. An unhandled error can terminate the Python process and interrupt the work it is handling. Exploitation requires IAST to be enabled, which is not the default, and application code to apply the affected formatting oper

CWE-248 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 13 Tagen ↻ vor 9 Tagen

🛡️ Details ➔

Zero-Day & Vulnerability Intelligence Hub