MessagePack 3.1.9 e 2.5.303 corrigem payload de 32 KiB que aloca 120 MiB
CVE-2026-92707: cabeçalhos de array MessagePack aninhados podiam reutilizar os mesmos bytes finais para passar na verificação de tamanho, fazendo com que a desserialização em object alocasse milhares de vezes o tamanho do payload. A correção, um teste antes/depois, e por que aplicativos SignalR no .NET 8 até 11 RC 1 precisam de um pin direto de pacote.