CVE-2026-92707 Asignación excesiva de memoria en MessagePack para C#

Qué es CVE-2026-92707

Antes de 2.5.303 y 3.1.9, deserializar datos MessagePack controlados por el atacante como System.Object mediante PrimitiveObjectFormatter puede causar asignación excesiva de memoria. El formateador asigna un object[] por cada longitud de array declarada antes de que el límite de profundidad rechace la entrada, y los encabezados de arrays anidados pueden reutilizar los mismos bytes no leídos para validar cada longitud. Un payload pequeño puede mantener muchas matrices grandes vivas y, con envíos repetidos…

Productos y versiones afectadas

• MessagePack-CSharp

  • < 2.5.303
  • >= 3.0.0, < 3.1.9

Qué hacer

1. Verificá si usás MessagePack-CSharp y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.303 and 3.1.9, deserializing attacker-controlled MessagePack data as System.Object through PrimitiveObjectFormatter can cause excessive memory allocation. The formatter allocates an object[] from each declared array length before the configured object-graph depth limit rejects the input, while nested array headers can reuse the same trailing unread bytes to satisfy per-header length validation. A comparatively small payload can therefore keep many large arrays alive at once. When an attacker can submit such data repeatedly, the allocations can cause severe managed-heap pressure, excessive garbage collection, process termination, or loss of service. Exposure requires an application to deserialize untrusted data through the affected formatter path and permit repeated attacker-controlled submissions, such as a reachable ASP.NET Core SignalR hub method with an object parameter and AddMessagePackProtocol() enabled. This issue is fixed in versions 2.5.303 and 3.1.9.

Referencias

• github.com/MessagePack-CSharp/MessagePack-CSharp/security/advisories/GHSA-qhrr-8q5h-9q3hX_REFSOURCE_CONFIRM
• github.com/MessagePack-CSharp/MessagePack-CSharp/commit/7fd78bbf3476e03beae8b0f7a52112552…X_REFSOURCE_MISC
• github.com/MessagePack-CSharp/MessagePack-CSharp/commit/95b63fca4f7097d3cac12d1a95286af4b…X_REFSOURCE_MISC
• github.com/MessagePack-CSharp/MessagePack-CSharp/releases/tag/v2.5.303X_REFSOURCE_MISC
• github.com/MessagePack-CSharp/MessagePack-CSharp/releases/tag/v3.1.9X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 17:28VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.