MessagePack 3.1.9 und 2.5.303 beheben eine 32-KiB-Payload, die 120 MiB alloziert
CVE-2026-92707: Verschachtelte MessagePack-Array-Header konnten dieselben verbleibenden Bytes wiederverwenden, um die Längenprüfung zu bestehen, sodass die Deserialisierung in object ein Vielfaches der Payload-Größe allozierte. Der Fix, ein Vorher/Nachher-Test und warum SignalR-Apps auf .NET 8 bis 11 RC 1 einen direkten Paket-Pin benötigen.