CVE-2026-48506
| Summary |
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, MessagePackReader.TrySkip() recursively descends into nested arrays and maps without incrementing the reader depth or calling the configured depth checks. This bypasses MessagePackSecurity.MaximumObjectGraphDepth, the library's documented protection against deeply nested object graphs. Many generated and dynamic formatters call reader.Skip() when they encounter unknown map keys, unknown array members, ignored fields, or data that should be skipped for forward compatibility. A deeply nested value in one of these skipped positions can therefore cause unbounded recursion and an uncatchable StackOverflowException. This vulnerability is fixed in 2.5.301 and 3.1.7.
|
| Publication Date |
June 23, 2026, 7:16 a.m. |
| Registration Date |
June 27, 2026, 4:12 a.m. |
| Last Update |
June 24, 2026, 2:24 a.m. |
|
CVSS3.1 : HIGH
|
| スコア |
7.5
|
| Vector |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 攻撃元区分(AV) |
ネットワーク |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃に必要な特権レベル(PR) |
不要 |
| 利用者の関与(UI) |
不要 |
| 影響の想定範囲(S) |
変更なし |
| 機密性への影響(C) |
なし |
| 完全性への影響(I) |
なし |
| 可用性への影響(A) |
高 |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:messagepack:messagepack:*:*:*:*:*:c\#:*:* |
|
|
|
2.5.301 |
| cpe:2.3:a:messagepack:messagepack:*:*:*:*:*:c\#:*:* |
3.0.3 |
|
|
3.1.7 |
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
MessagePackにおける再帰制御に関する脆弱性
| Title |
MessagePackにおける再帰制御に関する脆弱性
|
| Summary |
C#向けのMessagePackはC#用のMessagePackシリアライザです。バージョン2.5.301および3.1.7以前のMessagePackReader.TrySkip()は、入れ子になった配列やマップに再帰的に降りていきますが、リーダーの深さを増加させたり設定された深さチェックを呼び出したりしません。このため、深く入れ子になったオブジェクトグラフに対してライブラリの保護機能であるMessagePackSecurity.MaximumObjectGraphDepthが回避されてしまいます。多くの生成された動的フォーマッタは、未知のマップキー、未知の配列メンバー、無視されるフィールド、または前方互換性のためにスキップすべきデータに遭遇した際にreader.Skip()を呼び出します。これらのスキップされた位置に深く入れ子になった値があると、制限のない再帰が発生し、捕捉不能なStackOverflowExceptionが引き起こされる可能性があります。この脆弱性はバージョン2.5.301および3.1.7で修正されました。
|
| Possible impacts |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 22, 2026, midnight |
| Registration Date |
June 26, 2026, 11:57 a.m. |
| Last Update |
June 26, 2026, 11:57 a.m. |
Affected System
| MessagePack |
|
MessagePack 2.5.301 未満
|
|
MessagePack 3.0.3 以上 3.1.7 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月26日]
掲載 |
June 26, 2026, 11:57 a.m. |