MessagePack for C# は C# 向けの MessagePack シリアライザーです。バージョン 2.5.301 および 3.1.7 より前のものでは、引数なしの MessagePackInputFormatter() コンストラクターがデフォルトのシリアライザーオプションを使用しており、これは MessagePackSerializerOptions.Standard と MessagePackSecurity.TrustedData に解決されます。このフォーマッターは、通常 HTTP トラスト境界を越える ASP.NET Core MVC のリクエストボディ用に設計されています。この安全でないデフォルト設定により、辞書のようなモデルプロパティに対するハッシュ衝突攻撃など、MessagePackSecurity.UntrustedData で軽減されることを意図しているサービス拒否攻撃にアプリケーションがさらされる可能性があります。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

ベンダ情報を参照して適切な対策を実施してください。