CVE-2026-107297

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. W wersjach przed 6.1.0 utworzenie msgpack5 z pustym lub częściowym obiektem opcji wyłącza domyślną ochronę protoAction: 'error'. Zdekodowana mapa zawierająca klucz __proto__ może następnie zastąpić prototyp zdekodowanego obiektu, potencjalnie zmieniając dziedziczone właściwości lub dalsze zachowanie, choć Object.prototype nie jest modyfikowany globalnie.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. Przed wersją 6.1.0, dekoder strumieniowy rekurencyjnie wywołuje sam siebie dla każdej kompletnej wartości MessagePack pozostałej w porcji. Zdalny peer może wysłać jedną porcję zawierającą wiele małych poprawnych wartości, powodując rekurencję proporcjonalną do liczby wartości, wyczerpując stos JavaScript i przerywając proces lub strumień. Problem naprawiono w wersji 6.1.0.

msgpack5 przed wersją 6.1.0 traktuje zarezerwowany bajt 0xc1 jako niekompletne wejście zamiast nieprawidłowego. Gdy strumień zaczyna się od 0xc1, kolejne dane pozostają w buforze, czekając na bajty, które nigdy nie uczynią wartości prawidłową, co pozwala zdalnemu peerowi wyczerpać pamięć.

msgpack5 przed wersją 6.1.0 nie ma limitu głębokości zagnieżdżenia dla tablic i map, co pozwala atakującemu dostarczającemu dane MessagePack na przesłanie głęboko zagnieżdżonych kontenerów, które wyczerpują stos JavaScript i przerywają działanie procesu, workera lub obsługi żądań.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarek. W wersjach przed 6.1.0 dekodowanie ujemnej liczby całkowitej 64-bitowej ze znakiem modyfikuje odpowiednie bajty w buforze wejściowym dostarczonym przez wywołującego podczas obliczania wartości. Aplikacje, które przechowują lub ponownie wykorzystują zakodowane dane wejściowe do kontroli integralności, logowania lub późniejszego przetwarzania, mogą zaobserwować ciche uszkodzenie danych; liczby dodatnie i inne typy wartości MessagePack nie są objęte problemem. Problem naprawiono w wersji 6.1.0.