CVE-2026-114613
Beschrijving NL
MessagePack is de serialisatie-implementatie voor Python msgpack.org. Voorafgaand aan 1.2.3 lekt de msgpack-python C-extensie (msgpack._cmsgpack) een gedecodeerde kaartwaarde wanneer deserialisatie een sleutel met strict_map_key=True (de standaard) afwijst. Herhaalde misvormde ingangen kunnen onbegrensde groei van het procesgeheugen en denial of service veroorzaken in toepassingen die door aanvallers gecontroleerde MessagePack-gegevens deserialiseren. Zowel unpackb() als de streaming Unpacker API worden beïnvloed. De pure-Python fallback vertoont dit lek niet in de gerapporteerde tests. Dit probleem is opgelost in versie 1.2.3.
Origineel (Engels) tonen
MessagePack is the serializer implementation for Python msgpack.org. Prior to 1.2.3, the msgpack-python C extension (msgpack._cmsgpack) leaks a decoded map value when deserialization rejects a key with strict_map_key=True (the default). Repeated malformed inputs can cause unbounded process memory growth and denial of service in applications that deserialize attacker-controlled MessagePack data. Both unpackb() and the streaming Unpacker API are affected. The pure-Python fallback does not exhibit this leak in the reported tests. This issue is fixed in version 1.2.3.