CVE-2026-48506
Açıklama
MessagePack for C#, C# için bir MessagePack serileştiricisidir. 2.5.301 ve 3.1.7 sürümlerinden önce, MessagePackReader.TrySkip() yöntemi, okuyucu derinliğini artırmadan veya yapılandırılmış derinlik kontrollerini çağırmadan iç içe geçmiş dizilere ve eşlemelere özyinelemeli olarak iner. Bu durum, kütüphanenin derinlemesine iç içe geçmiş nesne grafiklerine karşı belgelenmiş koruması olan MessagePackSecurity.MaximumObjectGraphDepth mekanizmasını devre dışı bırakır. Birçok oluşturulmuş ve dinamik biçimlendirici; bilinmeyen eşleme anahtarlarıyla, bilinmeyen dizi üyeleriyle, yoksayılan alanlarla veya ileriye dönük uyumluluk için atlanması gereken verilerle karşılaştığında reader.Skip() yöntemini çağırır. Bu nedenle, bu atlanan konumlardan birindeki derinlemesine iç içe geçmiş bir değer, sınırsız özyinelemeye ve yakalanamayan bir StackOverflowException hatasına neden olabilir. Bu güvenlik açığı 2.5.301 ve 3.1.7 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- messagepack messagepack2.5.301, 3.1.7 ya da sonraki bir sürüm
- MessagePack2.5.301, 3.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| messagepack messagepack | v < 2.5.301, 3.0.3 ≤ v < 3.1.7 | 2.5.301, 3.1.7 |
| MessagePackNuGet | v < 2.5.301, 3.0 ≤ v < 3.1.7 | 2.5.301, 3.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.