CVE-2026-107302 in msgpack5
Resumen
por VulDB • 2026-10-08
msgpack5 es una implementación de msgpack v5 para node.js y el navegador. Antes de la versión 6.1.0, el decodificador lee la longitud de cuatro bytes de un valor map32 antes de validar que esté disponible la cabecera completa de cinco bytes. Por lo tanto, una cabecera map32 truncada provoca una lectura fuera de límites verificada (checked out-of-bounds buffer read) y genera un RangeError en lugar de IncompleteBufferError, lo cual puede terminar inesperadamente una solicitud, flujo o proceso trabajador en aplicaciones que esperan más bytes tras recibir el error IncompleteBufferError. No hay divulgación de memoria adyacente porque la implementación del búfer verifica los límites. Este problema se soluciona en la versión 6.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.