CVE-2026-107296

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. W wersjach przed 6.1.0 utworzenie msgpack5 z pustym lub częściowym obiektem opcji wyłącza domyślną ochronę protoAction: 'error'. Zdekodowana mapa zawierająca klucz __proto__ może następnie zastąpić prototyp zdekodowanego obiektu, potencjalnie zmieniając dziedziczone właściwości lub dalsze zachowanie, choć Object.prototype nie jest modyfikowany globalnie.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. Przed wersją 6.1.0, dekoder strumieniowy rekurencyjnie wywołuje sam siebie dla każdej kompletnej wartości MessagePack pozostałej w porcji. Zdalny peer może wysłać jedną porcję zawierającą wiele małych poprawnych wartości, powodując rekurencję proporcjonalną do liczby wartości, wyczerpując stos JavaScript i przerywając proces lub strumień. Problem naprawiono w wersji 6.1.0.

msgpack5 przed wersją 6.1.0 traktuje zarezerwowany bajt 0xc1 jako niekompletne wejście zamiast nieprawidłowego. Gdy strumień zaczyna się od 0xc1, kolejne dane pozostają w buforze, czekając na bajty, które nigdy nie uczynią wartości prawidłową, co pozwala zdalnemu peerowi wyczerpać pamięć.

msgpack5 przed wersją 6.1.0 nie ma limitu głębokości zagnieżdżenia dla tablic i map, co pozwala atakującemu dostarczającemu dane MessagePack na przesłanie głęboko zagnieżdżonych kontenerów, które wyczerpują stos JavaScript i przerywają działanie procesu, workera lub obsługi żądań.

W msgpack5 przed wersją 6.1.0 dekoder strumieniowy ponownie przetwarza niekompletną tablicę lub mapę od początku za każdym razem, gdy nadejdzie kolejny fragment danych. Zdalny peer może podzielić jeden prawidłowy kontener MessagePack na wiele małych fragmentów, powodując wielokrotne dekodowanie już ukończonych elementów, co prowadzi do kwadratowego zużycia CPU i blokowania pętli zdarzeń.