AutoMapper: lỗ hổng tràn ngăn xếp, kiểm tra phiên bản và nâng cấp bản vá

GitHub Advisories đã công bố cảnh báo về lỗ hổng tràn ngăn xếp trong AutoMapper, thư viện .NET dùng để ánh xạ dữ liệu giữa các đối tượng. Ưu tiên kiểm tra phiên bản đang được dự án sử dụng và nâng cấp lên bản đã vá tương ứng.

Tổng quan và thông tin kỹ thuật

Lỗ hổng CVE-2026-128081 được phân loại là CWE-674 (Uncontrolled Recursion). Điểm số là CVSS 7.5 theo CVSS:3.1, với vector AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.

Phạm vi ảnh hưởng

Cơ chế và tác động

Một số đường ánh xạ có thể bỏ qua giới hạn MaxDepth, gồm ánh xạ đa hình, thành viên kiểu object hoặc interface, nguồn Dictionary/dynamic và bộ chuyển đổi kiểu đệ quy. Kẻ tấn công có thể cung cấp dữ liệu lồng sâu để gây StackOverflowException không thể bắt, khiến tiến trình ứng dụng bị kết thúc.

Hồ sơ nêu rằng với ngăn xếp mặc định 1 MB trên Windows, vài nghìn cấp lồng nhau có thể đủ gây lỗi. Tác động được xác nhận là làm gián đoạn tính sẵn sàng của ứng dụng.

Kiểm tra hệ thống

1. Kiểm tra phiên bản AutoMapper trực tiếp và bắc cầu trong dự án .NET. Nếu gói nằm trong dải bị ảnh hưởng, nâng cấp lên phiên bản đã vá tương ứng.

dotnet list package --include-transitive

Khắc phục và giảm thiểu

1. Ưu tiên nâng cấp: dùng AutoMapper 16.3.0 cho nhánh 16.0.0 đến dưới 16.3.0, hoặc 15.1.4 cho nhánh dưới 15.1.4.
2. Biện pháp tạm thời: đặt MaxDepth rõ ràng trên các map kiểu dẫn xuất và các map được gọi qua thành viên object hoặc interface.
3. Với nguồn Dictionary/dynamic và bộ chuyển đổi kiểu đệ quy, giới hạn độ sâu đầu vào trước khi ánh xạ. Hồ sơ cho biết không có workaround cấu hình cho các trường hợp này.

Nguồn tham khảo

• GitHub Advisories: GHSA-gpwp-5797-mjff