CVE-2026-48511

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Descrição A função ExpandoObjectFormatter.Deserialize() popula o System.Dynamic.ExpandoObject chamando IDictionary<string, object>.Add para cada entrada de mapa. Como o ExpandoObject mantém os nomes dos membros em estruturas semelhantes a arrays, a inserção de um grande número de chaves distintas pode levar a varreduras lineares e cópias de array repetidas. Ao processar mapas grandes controlados por um invasor, isso resulta em um comportamento quadrático de CPU e alocação de memória. Isso ocorre mesmo quando o ExpandoObjectResolver.Options está configurado com MessagePackSecurity.UntrustedData, pois comparadores de dicionário resistentes a colisões não protegem os mecanismos internos de inserção do ExpandoObject.

Recomendações Atualize para a versão 2.5.301. Atualize para a versão 3.1.7.