msgpack5: Decoding negative int64 values mutates the input buffer

THẤP 3.7CVE-2026-107296 · GHSA-qw35-55vc-rhgj · Công bố 08/10/2026 · cập nhật 14/10/2026

Tóm tắt nhanh

CVE-2026-107296 là lỗ hổng mức THẤP (CVSS 3.7) ảnh hưởng msgpack5.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.28%, cao hơn 20.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 6.1.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
msgpack5 npm	`< 6.1.0`	`6.1.0`

Mô tả

Impact

Decoding a negative signed 64-bit integer modifies the corresponding bytes in the caller-provided input buffer. Applications that retain or reuse encoded input for integrity checks, logging, or subsequent processing may observe silently corrupted data.

Positive integers and other MessagePack value types are not affected.

Patches

The decoder now computes signed 64-bit values without writing to the input buffer.

Workarounds

Copy untrusted MessagePack input before decoding it, or do not retain or reuse input buffers after decoding.

Mô tả của NVD

msgpack5 is a msgpack v5 implementation for node.js and the browser. Prior to 6.1.0, decoding a negative signed 64-bit integer modifies the corresponding bytes in the caller-provided input buffer while computing the value. Applications that retain or reuse encoded input for integrity checks, logging, or later processing can observe silently corrupted data, while positive integers and other MessagePack value types are unaffected. This issue is fixed in version 6.1.0.