CVE-2026-48517
Publiée le 2026-06-22 · Dernière modification le 2026-06-25
Les applications utilisant la bibliothèque MessagePack for C# pour la sérialisation des données sont concernées si elles activent la désérialisation sans type (typeless deserialization). Un attaquant peut contourner les filtres de sécurité pour instancier des types restreints en les imbriquant dans des tableaux ou des types génériques, ce qui pourrait mener à l'exécution de code à distance. Cela nécessite un accès réseau et un effort technique important pour concevoir une charge utile efficace, bien qu'aucune authentification ni interaction de l'utilisateur ne soit requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, MessagePack-CSharp's typeless deserialization includes MessagePackSerializerOptions.ThrowIfDeserializingTypeIsDisallowed(Type) as a safety check for dangerous types. The default implementation checks the outer type name, but it does not recursively inspect array element types or generic type arguments. As a result, a type that would be blocked directly can be wrapped inside an array or constructed generic type and pass the outer type check. The formatter machinery can then materialize formatters for the inner blocked type. This vulnerability is fixed in 2.5.301 and 3.1.7.