CVE-2026-48502
Publiée le 2026-06-22 · Dernière modification le 2026-06-23
Les applications utilisant la bibliothèque MessagePack pour C# (versions antérieures à 2.5.301 et 3.1.7) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage du processus hôte en envoyant une petite charge utile spécialement conçue qui déclenche un dépassement de pile (stack overflow). Bien que l'attaque nécessite un accès réseau, elle est difficile à exécuter car elle repose sur un chemin d'analyse spécifique pour les extensions d'horodatage.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, MessagePackReader.ReadDateTime() can allocate stack memory based on an attacker-controlled MessagePack extension length. In the slow path for timestamp extension parsing, the computed tokenSize includes the extension body length from the wire and is used in a stackalloc operation before the extension length is validated as one of the valid timestamp sizes. A very small payload can claim a large timestamp extension body and cause a stack allocation large enough to trigger an uncatchable StackOverflowException, terminating the host process. This vulnerability is fixed in 2.5.301 and 3.1.7.