CVE-2026-59803

Nome do Software Vulnerável e Versões Afetadas rpcx versões anteriores a 1.9.3

Description Um problema de negação de serviço existe na função protocol.Message.Decode() (protocol/message.go). Quando uma mensagem possui a flag de compressão ativada, a carga útil é descompactada via util.Unzip sem limite no tamanho da saída descompactada. A proteção protocol.MaxMessageLength verifica apenas o comprimento do quadro comprimido, não oferecendo proteção contra a expansão dos dados. Como a decodificação e descompactação ocorrem em readRequest antes da autenticação, uma única conexão não autenticada pode enviar uma pequena mensagem compactada em gzip que se expande para gigabytes de alocação de heap, levando a condições de falta de memória e indisponibilidade do serviço.

Recommendations Atualize para a versão que contém o commit 047aec1.