AutoMapper: lỗ hổng tràn ngăn xếp, kiểm tra phiên bản và nâng cấp bản vá

GitHub Advisories công bố lỗ hổng trong AutoMapper, thư viện .NET dùng để ánh xạ dữ liệu giữa các đối tượng. Dưới đây là phạm vi phiên bản, cơ chế ảnh hưởng và các bước kiểm tra, khắc phục theo advisory.

Tổng quan và thông tin kỹ thuật

CVE-2026-128082 là lỗi đệ quy không được kiểm soát khi ánh xạ qua tham số constructor. Advisory phân loại lỗi là CWE-674 và ghi nhận điểm CVSS 7.5 theo CVSS 3.1.

Phạm vi ảnh hưởng

Cơ chế và tác động

Khi ánh xạ qua tham số constructor, MaxDepth không được tính trước khi tạo đối tượng đích. Do đó, cả giới hạn được đặt rõ ràng lẫn giới hạn mặc định 64 đều có thể bị vượt qua. Dữ liệu lồng sâu do kẻ tấn công kiểm soát có thể gây StackOverflowException không thể bắt và làm tiến trình ứng dụng kết thúc.

Lỗi cũng ảnh hưởng đến ConstructUsing khi ánh xạ đệ quy qua context.Mapper.

Kiểm tra hệ thống

1. Kiểm tra phiên bản AutoMapper được khai báo trực tiếp trong dự án .NET:

   Sao chép lệnh

   dotnet list package

   Nếu phiên bản nằm trong khoảng bị ảnh hưởng, nâng cấp lên 16.3.0 hoặc 15.1.4 tương ứng.

2. Kiểm tra cả các gói NuGet phụ thuộc được đưa vào gián tiếp:

   Sao chép lệnh

   dotnet list package --include-transitive

   Nếu AutoMapper xuất hiện với phiên bản bị ảnh hưởng, cập nhật phụ thuộc lên bản đã vá.

Khắc phục và giảm thiểu

1. Ưu tiên nâng cấp: chuyển AutoMapper lên 16.3.0 hoặc 15.1.4 theo nhánh phiên bản đang sử dụng.

2. Nếu chưa thể nâng cấp: giới hạn độ sâu đầu vào trước khi ánh xạ.

3. Với kiểu đích có constructor không tham số và thuộc tính có thể gán, có thể tạm dùng cfg.DisableConstructorMapping() để ánh xạ qua thuộc tính, nơi MaxDepth được thực thi.

4. Với positional record, hồ sơ nêu giới hạn độ sâu đầu vào trước khi ánh xạ hoặc nâng cấp; không có workaround khác.

Nguồn: GitHub Advisories — GHSA-6vhm-j9h7-f9gh.