CVE-2026-48509

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Description O construtor sem parâmetros MessagePackInputFormatter() utiliza opções de serializador padrão que resolvem para MessagePackSerializerOptions.Standard com MessagePackSecurity.TrustedData. Como este formatador é projetado para corpos de requisição ASP.NET Core MVC que cruzam limites de confiança HTTP, esta configuração padrão pode expor aplicações a ataques de negação de serviço. Especificamente, isso permite ataques de colisão de hash contra propriedades de modelo do tipo dicionário, que o MessagePackSecurity.UntrustedData visa mitigar.

Recommendations Atualize para a versão 2.5.301 ou posterior. Atualize para a versão 3.1.7 ou posterior.