JVNDB-2026-021011

MessagePackにおけるリソースの安全ではないデフォルト値への初期化に関する脆弱性

MessagePack for C# は C# 向けの MessagePack シリアライザーです。バージョン 2.5.301 および 3.1.7 より前のものでは、引数なしの MessagePackInputFormatter() コンストラクターがデフォルトのシリアライザーオプションを使用しており、これは MessagePackSerializerOptions.Standard と MessagePackSecurity.TrustedData に解決されます。このフォーマッターは、通常 HTTP トラスト境界を越える ASP.NET Core MVC のリクエストボディ用に設計されています。この安全でないデフォルト設定により、辞書のようなモデルプロパティに対するハッシュ衝突攻撃など、MessagePackSecurity.UntrustedData で軽減されることを意図しているサービス拒否攻撃にアプリケーションがさらされる可能性があります。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack

• MessagePack 2.5.301 未満
• MessagePack 3.0.3 以上 3.1.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ASP.NET Core MessagePackInputFormatter defaults to TrustedData for HTTP request bodies  Advisory  MessagePack-CSharp/MessagePack-CSharp  GitHub

1. リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]

1. CVE-2026-48509

1. National Vulnerability Database (NVD) : CVE-2026-48509

• [2026年06月26日]
    掲載