CVE-2026-106972

WysokieCVSS 7.5

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Nieograniczona rekurencja w metodzie MessagePack\BufferUnpacker::unpack() w bibliotece rybakit/msgpack w wersjach przed 0.11.0. Atakujący może spowodować wyczerpanie pamięci podczas dekodowania głęboko zagnieżdżonych danych MessagePack.

Ocena ryzyka

Aplikacje dekodujące dane MessagePack od niezaufanych źródeł mogą zostać doprowadzone do wyczerpania pamięci i odmowy usługi.

Rekomendacja

Zaktualizuj bibliotekę rybakit/msgpack do wersji 0.11.0 lub nowszej oraz ogranicz głębokość zagnieżdżenia dekodowanych danych.

Inne podatności w rybakit/msgpack

CVE-2026-106971Wysokie
Przepełnienie liczb całkowitych w komponencie MessagePack\BufferUnpacker biblioteki rybakit/msgpack w wersjach przed 0.11.0. Na 32-bitowym PHP spreparowane dane MessagePack mogą doprowadzić do odmowy usługi.

Oryginalny opis (angielski, źródło NVD)

Uncontrolled recursion in MessagePack\BufferUnpacker::unpack() in rybakit/msgpack versions prior to 0.11.0 allows attackers to cause a denial of service through memory exhaustion when an application decodes deeply nested, attacker-controlled MessagePack input.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS