Nerdbank.MessagePack: Vulnerabilidade de Negação de Serviço no WithExpandoObjectConverter
Um advisory de segurança foi publicado para Nerdbank.
O que mudou
Um advisory de segurança foi publicado para Nerdbank.MessagePack sobre uma vulnerabilidade de negação de serviço no método `OptionalConverters.WithExpandoObjectConverter`. O método `ExpandoObject.Add` tem complexidade O(n), resultando em uso de CPU O(n²) quando muitas propriedades são adicionadas. Um limite padrão de 128 propriedades foi introduzido; excedê-lo requer configuração explícita.
Quem isso afeta
Aplicações que chamam `OptionalConverters.WithExpandoObjectConverter` e desserializam dados não confiáveis em `ExpandoObject`.
O que fazer hoje
Atualize para uma versão corrigida do Nerdbank.MessagePack. Se sua aplicação precisar de mais de 128 propriedades, configure `ExpandoObjectMaxPropertyCount` com um limite adequado. Alternativamente, evite usar `WithExpandoObjectConverter` ao desserializar dados não confiáveis, ou escreva um conversor personalizado com limites de contagem de propriedades.