CVE-2026-59803

rpcx 1.9.3 sürümü dahil tüm sürümler, protocol.Message.Decode (protocol/message.go) fonksiyonunda bir hizmet reddi (denial-of-service) zafiyeti içermektedir ve bu durum 047aec1 commit'i ile düzeltilmiştir. Bir mesajda sıkıştırma bayrağı ayarlı olduğunda, yük (payload), açılmış çıktı boyutu üzerinde herhangi bir sınır olmaksızın util.Unzip aracılığıyla gzip ilele çözülür. Mevcut tek yerleşik boyut koruması olan protocol.MaxMessageLength, açılmış boyut yerine ağ üzerinden gelen sıkıştırılmış çerçeve uzunluğuna karşı kontrol edildiğinden herhangi bir koruma sağlamaz. Kod çözme (ve sıkıştırmayı kaldırma) işlemi kimlik doğrulamadan önce readRequest aşamasında gerçekleştiği için, kimliği doğrulanmamış tek bir bağlantı, gigabaytlarca yığın (heap) tahsisine yol açan küçük (2 MB altı) bir gzip sıkıştırılmış mesaj göndererek bellek yetersizliği (out-of-memory) koşullarına ve hizmet kesintisine neden olabilir.