CVE-2026-114613
CVE-2026-114613 · MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
MessagePack is the serializer implementation for Python msgpack.org. Prior to 1.2.3, the msgpack-python C extension (msgpack._cmsgpack) leaks a decoded map value when deserialization rejects a key with strict_map_key=True (the default). Repeated malformed inputs can cause unbounded process memory growth and denial of service in applications that deserialize attacker-controlled MessagePack data. Both unpackb() and the streaming Unpacker API are affected. The pure-Python fallback does not exhibit this leak in the reported tests. This issue is fixed in version 1.2.3.
CVSS 7.5 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
msgpack-python
- Versiones
- < 1.2.3: Afectada
Sin corrección publicada
python-msgpack Debian:12
- Versiones
- 1.0.3-2
- 1.0.3-3
- 1.1.2-1
- 1.1.2-2
- 1.1.2-3
- 1.1.2-4
- 1.2.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-msgpack Debian:13
- Versiones
- 1.0.3-3
- 1.1.2-1
- 1.1.2-2
- 1.1.2-3
- 1.1.2-4
- 1.2.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-msgpack Debian:14
- Versiones
- 1.0.3-3
- 1.1.2-1
- 1.1.2-2
- 1.1.2-3
- 1.1.2-4
- 1.2.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
msgpack PyPI
- Versiones
- 0.5.0
- 0.5.1
- 0.5.2
- 0.5.3
- 0.5.4
- 0.5.5
- 0.5.6
- 0.6.0
- 0.6.1
- 0.6.2
- 1.0.0
- 1.0.0rc1
- 1.0.1
- 1.0.2
- 1.0.3
- 1.0.3rc1
- 1.0.4
- 1.0.4rc1
- 1.0.5
- 1.0.5rc1
- 1.0.6
- 1.0.6rc1
- 1.0.7
- 1.0.8
- 1.1.0
- 1.1.0rc1
- 1.1.0rc2
- 1.1.1
- 1.1.1rc1
- 1.1.2
- 1.2.0
- 1.2.0rc1
- 1.2.1
- 1.2.2
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.2.3
Actualiza a 1.2.3