CVE-2026-107302 in msgpack5
Sumário
de VulDB • 08/10/2026
msgpack5 é uma implementação do msgpack v5 para node.js e navegadores. Antes da versão 6.1.0, o decodificador lia o comprimento de quatro bytes de um valor map32 antes de validar se o cabeçalho completo de cinco bytes estava disponível. Um cabeçalho map32 truncado causa, portanto, uma leitura fora dos limites do buffer (out-of-bounds) verificada e gera um erro RangeError em vez de IncompleteBufferError, o que pode encerrar inesperadamente uma solicitação, stream ou worker em aplicativos que aguardam bytes adicionais após receberem IncompleteBufferError. Não há divulgação de memória adjacente porque a implementação do buffer verifica os limites. Este problema foi corrigido na versão 6.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.