CVE-2026-48509
Təsvir
MessagePack for C# C# üçün MessagePack seriyalaşdırıcısıdır. 2.5.301 və 3.1.7 versiyalarından əvvəl parametrsiz MessagePackInputFormatter() konstruktoru standart seriyalaşdırıcı seçimlərindən istifadə edir ki, bunlar da MessagePackSecurity.TrustedData ilə MessagePackSerializerOptions.Standard-a çevrilir. Formatter ASP.NET Core MVC sorğu gövdələri üçün nəzərdə tutulub ki, bunlar adətən HTTP etimad sərhədini keçir. Bu təhlükəsiz olmayan standart parametr tətbiqləri MessagePackSecurity.UntrustedData-nın azaltmağı hədəflədiyi xidmətdən imtina hücumlarına, məsələn, lüğətə bənzər model xassələrinə qarşı heş toqquşması hücumlarına məruz qoya bilər. Bu zəiflik 2.5.301 və 3.1.7 versiyalarında düzəldilib.
Necə düzəltmək olar
- messagepack messagepack2.5.301, 3.1.7 və ya daha yeni versiya
- MessagePack2.5.301, 3.1.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| messagepack messagepack | v < 2.5.301, 3.0.3 ≤ v < 3.1.7 | 2.5.301, 3.1.7 |
| MessagePackNuGet | v < 2.5.301, 3.0 ≤ v < 3.1.7 | 2.5.301, 3.1.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.