CVE-2026-90472mediumCWE-674

CVE-2026-90472: fallo de gravedad media en msgpack-java

msgpack-java through 0.9.12 Stack Overflow via Nested Arrays

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear msgpack-java+ Monitorear msgpack-java

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.9epss 0.6%
msgpack-java through 0.9.12 contains a stack overflow vulnerability in MessageUnpacker.unpackValue() that recursively deserializes arrays and maps without nesting depth limits. Attackers can craft payloads with deeply nested arrays to exhaust the deserializing thread's stack and trigger StackOverflowError, causing per-request deserialization failures.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Productos afectados
msgpack · msgpack-java
CVEs relacionadas — msgpack-java

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-21452HIGHMessagePack-Java Vulnerable to Remote Denial of Service via Malicious .msgpack Model File Triggering Unbounded EXT Payload AllocationEPSS 0.6%CVE-2026-90473MEDIUMmsgpack-java through 0.9.12 Integer Overflow via MAP32EPSS 0.4%