CVE-2026-107302 — msgpack5: afgebroken map32-headers veroorzaken onverwachte RangeError

Wat er gebeurt

De msgpack5-decoder leest het vierbyte lengteveld van een map32-waarde voordat wordt gecontroleerd of de volledige vijfbyte header beschikbaar is. Als de header afgebroken is, voert de decoder een gecontroleerde out-of-bounds read uit en werpt een RangeError in plaats van IncompleteBufferError. Sommige applicaties wachten op extra bytes bij IncompleteBufferError; de onverwachte RangeError kan daardoor een verzoek, stream of worker beëindigen. De bufferimplementatie voert bounds-checks uit, dus er is geen aanwijzing voor uitlekken van aangrenzende geheugeninhoud. (Bronnen: 4122, 31839)

Technische oorzaak

De decoder valideert het vierbyte lengteveld van map32 voordat hij zeker weet dat de volledige vijfbyte header aanwezig is; een afgebroken header veroorzaakt daardoor een gecontroleerde out-of-bounds read die een RangeError oproept in plaats van de verwachte IncompleteBufferError. (Bronnen: 4122, 31839)

Waarom dit belangrijk is

Het directe effect is een beschikbaarheidsimpact: individuele verzoeken, streams of workers kunnen onvoorzien stoppen door een uitzondering. Omdat de beschreven bounds-checks voorkomen dat vertrouwelijke of integriteitsgevoelige data wordt blootgesteld, ligt het risico vooral bij beschikbaarheid in toepassingen die IncompleteBufferError gebruiken om incomplete invoer af te handelen. (Bronnen: 4122, 31839)

Wie is getroffen

Applicaties die het msgpack5-pakket gebruiken (in Node.js of browser builds) en MessagePack-gegevens decoderen kunnen getroffen zijn wanneer ze een afgebroken map32-header tegenkomen. (Bronnen: 4122, 31839)

Ontdekking en tijdlijn

De kwetsbaarheid is vastgelegd in OSV en NVD. De OSV-vermelding is gepubliceerd op 2026-10-08T17:40:10+02:00; de NVD-vermelding op 2026-10-08T18:17:19+02:00. (Bronnen: 4122, 31839)

Getroffen versies

De advisory meldt dat de kwetsbaarheid is geïntroduceerd bij 0 en verholpen in 6.1.0. (Bronnen: 4122)

Oplossingen en mitigatie

Er is een fix beschikbaar: de fout is verholpen in versie 6.1.0 van msgpack5. (Bronnen: 4122)

Aanbevolen actie

Werk msgpack5 bij naar versie 6.1.0. Als direct bijwerken niet mogelijk is, controleer dan hoe uw toepassing decoder-excepties verwerkt en ga er niet van uit dat IncompleteBufferError altijd betekent dat invoer ontbreekt; de gepubliceerde bronnen documenteren echter alleen de codefix en de gepubliceerde gefixeerde versie. (Bronnen: 4122, 31839)