CVE-2026-92707

MessagePack for C#, C# için bir MessagePack serileştiricisidir. 2.5.303 ve 3.1.9 sürümlerinden önce, saldırgan tarafından kontrol edilen MessagePack verilerinin PrimitiveObjectFormatter aracılığıyla System.Object olarak tersine serileştirilmesi aşırı bellek tahsisine neden olabilir. Yapılandırılmış nesne grafiği derinlik sınırı girdiyi reddetmeden önce, biçimlendirici her beyan edilen dizi uzunluğu için bir object[] tahsis eder; bu sırada iç içe geçmiş dizi üstbilgileri, üstbilgi başına uzunluk doğrulamasını karşılamak için aynı okunmamış sondaki baytları yeniden kullanabilir. Bu nedenle, nispeten küçük bir yük, birçok büyük dizinin aynı anda etkin kalmasını sağlayabilir. Bir saldırgan bu tür verileri tekrar tekrar gönderebildiğinde, yapılan tahsisler ciddi yönetilen yığın baskısına, aşırı çöp toplama işlemine (garbage collection), işlemin sonlanmasına veya hizmet kaybına yol açabilir. Bu durumun ortaya çıkması için uygulamanın, güvenilmeyen verileri etkilenen biçimlendirici yolu üzerinden tersine serileştirmesi ve nesne parametresine sahip erişilebilir bir ASP.NET Core SignalR hub yöntemi ile AddMessagePackProtocol() özelliğinin etkin olması gibi, saldırgan kontrollü tekrarlı gönderimlere izin vermesi gerekir. Bu sorun 2.5.303 ve 3.1.9 sürümlerinde düzeltilmiştir.