CVE-2026-48515

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Description Formatadores de arrays multidimensionais leem comprimentos de dimensão diretamente do payload e alocam T[,], T[,,] ou T[,,,] antes de validar se o produto da dimensão corresponde à contagem de elementos codificados. Como a alocação do array multidimensional de destino ocorre antes que as dimensões sejam verificadas em relação ao cabeçalho do array de elementos guardado, um payload pequeno pode declarar dimensões grandes e fornecer um array interno minúsculo ou vazio, resultando em uma alocação de heap volumosa antes que os dados dos elementos sejam validados.

Recommendations Atualizar para a versão 2.5.301. Atualizar para a versão 3.1.7.