CVE-2026-106971

WysokieCVSS 7.5

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 03/11/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Przepełnienie liczb całkowitych w komponencie MessagePack\BufferUnpacker biblioteki rybakit/msgpack w wersjach przed 0.11.0. Na 32-bitowym PHP spreparowane dane MessagePack mogą doprowadzić do odmowy usługi.

Ocena ryzyka

Aplikacje działające na 32-bitowym PHP i dekodujące niezaufane dane MessagePack mogą ulec awarii lub zawieszeniu.

Rekomendacja

Zaktualizuj rybakit/msgpack do wersji 0.11.0 lub nowszej; rozważ migrację na 64-bitowe PHP.

Inne podatności w rybakit/msgpack

CVE-2026-106972Wysokie
Nieograniczona rekurencja w metodzie MessagePack\BufferUnpacker::unpack() w bibliotece rybakit/msgpack w wersjach przed 0.11.0. Atakujący może spowodować wyczerpanie pamięci podczas dekodowania głęboko zagnieżdżonych danych MessagePack.

Oryginalny opis (angielski, źródło NVD)

An integer overflow in the MessagePack\BufferUnpacker component of rybakit/msgpack versions prior to 0.11.0 allows attackers to cause a denial of service via crafted MessagePack input when the application runs on 32-bit PHP

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS