CVE-2026-107302 in msgpack5
Riassunto
di VulDB • 08/10/2026
msgpack5 è un'implementazione di msgpack v5 per node.js e il browser. Prima della versione 6.1.0, il decoder legge la lunghezza a quattro byte del valore map32 prima di convalidare che l'intestazione completa a cinque byte sia disponibile. Un'intestazione map32 troncata causa quindi una lettura fuori dai limiti (out-of-bounds) controllata nel buffer e genera un'eccezione RangeError invece di IncompleteBufferError, il che può terminare in modo imprevisto una richiesta, uno stream o un worker nelle applicazioni che attendono byte aggiuntivi dopo aver ricevuto l'errore IncompleteBufferError. Non vi è alcuna divulgazione della memoria adiacente poiché l'implementazione del buffer verifica i limiti di accesso. Questo problema è stato risolto nella versione 6.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.