CVE-2026-48506

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Descrição A função MessagePackReader.TrySkip() desce recursivamente em arrays e mapas aninhados sem incrementar a profundidade do leitor ou acionar as verificações de profundidade configuradas. Este comportamento ignora o MessagePackSecurity.MaximumObjectGraphDepth, que é o mecanismo projetado para proteger contra grafos de objetos profundamente aninhados. Como muitos formatadores gerados e dinâmicos utilizam reader.Skip() ao encontrar chaves de mapa desconhecidas, membros de array desconhecidos, campos ignorados ou dados destinados à compatibilidade futura, um valor profundamente aninhado nessas posições pode levar a uma recursão ilimitada e a uma StackOverflowException impossível de capturar.

Recomendações Atualizar para a versão 2.5.301. Atualizar para a versão 3.1.7.