5.3
MEDIUM
CVSS 3.1
CVE-2026-59323
Micrometer Tracing Brave Bridge W3C Baggage propagation DoS vulnerability
Overview
Description
An application using Micrometer Tracing with W3C baggage propagation in the Brave bridge is vulnerable to denial of service (DoS) due to unbounded object allocation when extracting incoming baggage headers. Micrometer Tracing 1.7.0 Micrometer Tracing 1.6.0 - 1.6.6 Micrometer Tracing 1.5.0 - 1.5.12 Micrometer Tracing 1.4.13 and earlier
Details
INFO
Published Date :
Aug. 21, 2026, 10:16 a.m.
Last Modified :
Oct. 16, 2026, 3:10 p.m.
Remotely Exploit :
Yes !
Source :
[email protected]
Scoring
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework
for assessing the severity of vulnerabilities in software and systems.
We collect and displays CVSS scores from various sources for each CVE.
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | MEDIUM | dcf2e128-44bd-42ed-91e8-88f912c1401d | ||||
| CVSS 3.1 | MEDIUM | [email protected] | ||||
| CVSS 3.1 | MEDIUM | MITRE-CVE |
Solution
Update Micrometer Tracing bridge and configure request limits for baggage headers.
- Update io.micrometer:micrometer-tracing-bridge-brave to a patched version.
- Configure HTTP server to limit baggage header size.
- Disable baggage propagation if not strictly needed.
- Validate incoming baggage headers.
References
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2026-59323.
| URL | Resource |
|---|---|
| https://spring.io/security/cve-2026-59323 |
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2026-59323 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2026-59323
weaknesses.
CAPEC-125: Flooding Flooding
CAPEC-130: Excessive Allocation Excessive Allocation
CAPEC-147: XML Ping of the Death XML Ping of the Death
CAPEC-197: Exponential Data Expansion Exponential Data Expansion
CAPEC-229: Serialized Data Parameter Blowup Serialized Data Parameter Blowup
CAPEC-230: Serialized Data with Nested Payloads Serialized Data with Nested Payloads
CAPEC-231: Oversized Serialized Data Payloads Oversized Serialized Data Payloads
CAPEC-469: HTTP DoS HTTP DoS
CAPEC-482: TCP Flood TCP Flood
CAPEC-486: UDP Flood UDP Flood
CAPEC-487: ICMP Flood ICMP Flood
CAPEC-488: HTTP Flood HTTP Flood
CAPEC-489: SSL Flood SSL Flood
CAPEC-490: Amplification Amplification
CAPEC-491: Quadratic Data Expansion Quadratic Data Expansion
CAPEC-493: SOAP Array Blowup SOAP Array Blowup
CAPEC-494: TCP Fragmentation TCP Fragmentation
CAPEC-495: UDP Fragmentation UDP Fragmentation
CAPEC-496: ICMP Fragmentation ICMP Fragmentation
CAPEC-528: XML Flood XML Flood
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2026-59323 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2026-59323 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 16, 2026
Action Type Old Value New Value Changed Translation Title: Micrometer Tracing de Spring, Description: Una aplicación que utiliza Micrometer Tracing con propagación de baggage W3C en el puente Brave es vulnerable a denegación de servicio (DoS) debido a la asignación ilimitada de objetos al extraer los encabezados de baggage entrantes. Específicamente, una aplicación es vulnerable cuando se cumplen todas las siguientes condiciones: * La aplicación utiliza una versión vulnerable de io.micrometer:micrometer-tracing-bridge-brave. * La propagación W3C está activa (ya sea configurada manualmente o activa por defecto, como en Spring Boot 3.x+). * La propagación de baggage está habilitada (lo cual es el valor por defecto en Spring Boot 3.x+) y un gestor de baggage (como BraveBaggageManager) está configurado para manejar los campos de baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage que normalmente no debería, ver: https://www.w3.org/TR/trace-context/#security-considerations . * Los componentes de red, incluido el servidor (HTTP) que recibe la solicitud, no limitan el tamaño del encabezado o el límite es lo suficientemente alto como para causar problemas. Los dos últimos puntos son muy importantes: normalmente esto no debería afectar a las aplicaciones porque no deberían recibir entrada no confiable e ilimitada para baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage. Al extraer baggage del encabezado de baggage W3C, las entradas entrantes se analizan sin aplicar límites en el número de entradas o el tamaño del encabezado según lo exigido por la especificación W3C Baggage. Un atacante puede enviar solicitudes o mensajes con encabezados de baggage inflados artificialmente que contienen muchos pares clave-valor, causando asignaciones incondicionales de BaggageField por entrada. Esto conduce a presión en la recolección de basura, alto uso de CPU y un posible fallo de la aplicación a través de OutOfMemoryError. Title: Micrometer Tracing de Spring, Description: Una aplicación que utiliza Micrometer Tracing con propagación de baggage W3C en el puente Brave es vulnerable a denegación de servicio (DoS) debido a la asignación ilimitada de objetos al extraer los encabezados de baggage entrantes. Específicamente, una aplicación es vulnerable cuando se cumplen todas las siguientes condiciones: * La aplicación utiliza una versión vulnerable de io.micrometer:micrometer-tracing-bridge-brave. * La propagación W3C está activa (ya sea configurada manualmente o activa por defecto, como en Spring Boot 3.x+). * La propagación de baggage está habilitada (lo cual es el valor por defecto en Spring Boot 3.x+) y un gestor de baggage (como BraveBaggageManager) está configurado para manejar los campos de baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage que normalmente no debería, ver: https://www.w3.org/TR/trace-context/#security-considerations . * Los componentes de red, incluido el servidor (HTTP) que recibe la solicitud, no limitan el tamaño del encabezado o el límite es lo suficientemente alto como para causar problemas. Los dos últimos puntos son muy importantes: normalmente esto no debería afectar a las aplicaciones porque no deberían recibir entrada no confiable e ilimitada para baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage. Al extraer baggage del encabezado de baggage W3C, las entradas entrantes se analizan sin aplicar límites en el número de entradas o el tamaño del encabezado según lo exigido por la especificación W3C Baggage. Un atacante puede enviar solicitudes o mensajes con encabezados de baggage inflados artificialmente que contienen muchos pares clave-valor, causando asignaciones incondicionales de BaggageField por entrada. Esto conduce a presión en la recolección de basura, alto uso de CPU y un posible fallo de la aplicación a través de OutOfMemoryError. -
CVE Translated by [email protected]
Oct. 16, 2026
Action Type Old Value New Value Added Translation Title: Micrometer Tracing de Spring, Description: Una aplicación que utiliza Micrometer Tracing con propagación de baggage W3C en el puente Brave es vulnerable a denegación de servicio (DoS) debido a la asignación ilimitada de objetos al extraer los encabezados de baggage entrantes. Específicamente, una aplicación es vulnerable cuando se cumplen todas las siguientes condiciones: * La aplicación utiliza una versión vulnerable de io.micrometer:micrometer-tracing-bridge-brave. * La propagación W3C está activa (ya sea configurada manualmente o activa por defecto, como en Spring Boot 3.x+). * La propagación de baggage está habilitada (lo cual es el valor por defecto en Spring Boot 3.x+) y un gestor de baggage (como BraveBaggageManager) está configurado para manejar los campos de baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage que normalmente no debería, ver: https://www.w3.org/TR/trace-context/#security-considerations . * Los componentes de red, incluido el servidor (HTTP) que recibe la solicitud, no limitan el tamaño del encabezado o el límite es lo suficientemente alto como para causar problemas. Los dos últimos puntos son muy importantes: normalmente esto no debería afectar a las aplicaciones porque no deberían recibir entrada no confiable e ilimitada para baggage. * La aplicación procesa solicitudes o mensajes de fuentes no confiables con encabezados de baggage. Al extraer baggage del encabezado de baggage W3C, las entradas entrantes se analizan sin aplicar límites en el número de entradas o el tamaño del encabezado según lo exigido por la especificación W3C Baggage. Un atacante puede enviar solicitudes o mensajes con encabezados de baggage inflados artificialmente que contienen muchos pares clave-valor, causando asignaciones incondicionales de BaggageField por entrada. Esto conduce a presión en la recolección de basura, alto uso de CPU y un posible fallo de la aplicación a través de OutOfMemoryError. -
CVE Modified by [email protected]
Aug. 27, 2026
Action Type Old Value New Value Changed Description An application using Micrometer Tracing with W3C baggage propagation in the Brave bridge is vulnerable to denial of service (DoS) due to unbounded object allocation when extracting incoming baggage headers. Specifically, an application is vulnerable when all the following are true: * The application uses a vulnerable version of io.micrometer:micrometer-tracing-bridge-brave. * W3C propagation is active (either configured manually or active by default, such as in Spring Boot 3.x+). * Baggage propagation is enabled (which is the default in Spring Boot 3.x+) and a baggage manager (such as BraveBaggageManager) is configured to handle baggage fields. * The application processes requests or messages from untrusted sources with baggage headers which it normally should not, see: https://www.w3.org/TR/trace-context/#security-considerations . * Network components including the (HTTP) server that receives the request do not limit the header size or the limit is high enough to cause issues. The last two points are very important: normally this should not affect applications because they should not receive untrusted and unlimited input for baggage. * The application processes requests or messages from untrusted sources with baggage headers. When extracting baggage from the W3C baggage header, incoming entries are parsed without enforcing limits on the number of entries or header size as mandated by the W3C Baggage specification. An attacker can send requests or messages with artificially inflated baggage headers containing many key-value pairs, causing unconditional BaggageField allocations per entry. This leads to garbage collection pressure, high CPU usage, and potential application crash via OutOfMemoryError. An application using Micrometer Tracing with W3C baggage propagation in the Brave bridge is vulnerable to denial of service (DoS) due to unbounded object allocation when extracting incoming baggage headers. Micrometer Tracing 1.7.0 Micrometer Tracing 1.6.0 - 1.6.6 Micrometer Tracing 1.5.0 - 1.5.12 Micrometer Tracing 1.4.13 and earlier Added Affected Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/59xxx/CVE-2026-59323.json">CVE-2026-59323</a> Added Reference https://spring.io/security/cve-2026-59323 Removed Reference https://spring.io/security/cve-2026-59323 -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 21, 2026
Action Type Old Value New Value Added CWE CWE-770 -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 21, 2026
Action Type Old Value New Value Added SSVC {'id': 'CVE-2026-59323', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'none'}, {'automatable': 'yes'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-08-21T12:03:29.254669Z'} -
New CVE Received by [email protected]
Aug. 21, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'VMware', 'product': 'Spring', 'versions': [{'status': 'affected', 'version': '1.7.0 - 1.7.0', 'lessThan': '1.7.0.1', 'versionType': 'Enterprise Support Only'}, {'status': 'affected', 'version': '1.7.0 - 1.7.0', 'lessThan': '1.7.1', 'versionType': 'OSS'}, {'status': 'affected', 'version': '1.6.0 - 1.6.6', 'lessThan': '1.6.6.1', 'versionType': 'enterprise support only'}, {'status': 'affected', 'version': '1.6.0 - 1.6.6', 'lessThan': '1.6.7', 'versionType': 'oss'}, {'status': 'affected', 'version': '1.5.0 - 1.5.12', 'lessThan': '1.5.13', 'versionType': 'enterprise support only'}, {'status': 'affected', 'version': '1.4.13 and earlier', 'lessThan': '1.4.14', 'versionType': 'enterprise support only'}], 'packageName': 'Micrometer Tracing', 'defaultStatus': 'affected'}] Added Description An application using Micrometer Tracing with W3C baggage propagation in the Brave bridge is vulnerable to denial of service (DoS) due to unbounded object allocation when extracting incoming baggage headers. Specifically, an application is vulnerable when all the following are true: * The application uses a vulnerable version of io.micrometer:micrometer-tracing-bridge-brave. * W3C propagation is active (either configured manually or active by default, such as in Spring Boot 3.x+). * Baggage propagation is enabled (which is the default in Spring Boot 3.x+) and a baggage manager (such as BraveBaggageManager) is configured to handle baggage fields. * The application processes requests or messages from untrusted sources with baggage headers which it normally should not, see: https://www.w3.org/TR/trace-context/#security-considerations . * Network components including the (HTTP) server that receives the request do not limit the header size or the limit is high enough to cause issues. The last two points are very important: normally this should not affect applications because they should not receive untrusted and unlimited input for baggage. * The application processes requests or messages from untrusted sources with baggage headers. When extracting baggage from the W3C baggage header, incoming entries are parsed without enforcing limits on the number of entries or header size as mandated by the W3C Baggage specification. An attacker can send requests or messages with artificially inflated baggage headers containing many key-value pairs, causing unconditional BaggageField allocations per entry. This leads to garbage collection pressure, high CPU usage, and potential application crash via OutOfMemoryError. Added CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Added Reference https://spring.io/security/cve-2026-59323
EPSS is a daily estimate of the probability of exploitation activity
being observed over the next 30 days. Following chart shows the EPSS
score history of the vulnerability.