CVE-2026-48513

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Description Deserializadores de união gerados em tempo de execução emitidos pelo DynamicUnionResolver não chamam MessagePackSecurity.DepthStep(ref reader) e não decrementam reader.Depth durante a desserialização recursiva e caminhos de salto. Consequentemente, a desserialização de união não adere consistentemente à aplicação do limite máximo de profundidade do grafo de objetos utilizada em outros caminhos de formatadores recursivos. Ao encontrar chaves de união desconhecidas, o deserializador emitido executa reader.Skip() em dados controlados por um invasor sem uma etapa de profundidade envolvente.

Recommendations Atualizar para a versão 2.5.301. Atualizar para a versão 3.1.7.