« Volver al listado

CVE-2026-107296

Estado: AplazadaBaja (3.7)—

msgpack5 es una implementación de msgpack v5 para node.js y el navegador. En versiones anteriores a la 6.1.0, la decodificación de un entero con signo de 64 bits negativo modifica los bytes correspondientes del búfer de entrada proporcionado por el llamante mientras calcula el valor. Las aplicaciones que conservan o reutilizan la entrada codificada para comprobaciones de integridad, registro o procesamiento posterior pueden observar datos corrompidos de forma silenciosa, mientras que los enteros positivos y otros tipos de valores MessagePack no están afectados. Este problema está corregido en la versión 6.1.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

AV:N permite acceso remoto sin privilegios (T1190). La vulnerabilidad corrompe silenciosamente datos en el buffer durante decodificación msgpack, afectando integridad de datos (CWE-471: modificación de datos durante procesamiento). Confianza moderada: explotación requiere AC:H y aplicaciones específ

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningRestrict File and Directory PermissionsPrivileged Account ManagementRemote Data StorageNetwork SegmentationLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Msgpack5 — Msgpack5AI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107296",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107296",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T01:01:46.974219Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 3.7,
          "attackVector": "NETWORK",
          "baseSeverity": "LOW",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "mcollina",
          "product": "msgpack5",
          "versions": [
            {
              "status": "affected",
              "version": "< 6.1.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T17:17:15.390",
  "references": [
    {
      "url": "https://github.com/mcollina/msgpack5/commit/82b70393a824e1088a45a377548d1d9ab82faf91",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mcollina/msgpack5/releases/tag/v6.1.0",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/mcollina/msgpack5/security/advisories/GHSA-qw35-55vc-rhgj",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-471"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "msgpack5 is a msgpack v5 implementation for node.js and the browser. Prior to 6.1.0, decoding a negative signed 64-bit integer modifies the corresponding bytes in the caller-provided input buffer while computing the value. Applications that retain or reuse encoded input for integrity checks, logging, or later processing can observe silently corrupted data, while positive integers and other MessagePack value types are unaffected. This issue is fixed in version 6.1.0."
    }
  ],
  "lastModified": "2026-10-14T01:17:05.483",
  "sourceIdentifier": "security-advisories@github.com"
}