CVE-2026-107299

Nome do Software Vulnerável e Versões Afetadas msgpack5 versões anteriores a 6.1.0

Description O decodificador de streaming trata incorretamente o byte reservado do MessagePack 0xc1 como entrada incompleta em vez de entrada inválida. Quando 0xc1 inicia um stream, o decodificador armazena todos os dados subsequentes em buffer enquanto aguarda bytes que não podem tornar o valor válido, permitindo que um peer remoto cause exaustão de memória.

Recommendations Atualize para a versão 6.1.0. Rejeite 0xc1 antes de enviar a entrada de streaming para o msgpack5. Imponha limites de tempo e de bytes no stream.