NES for.NET ：安全可靠，由 HeroDevs 提供支持并维护
关于 NES for.NET 的必知事项
.NET 已正式达到生命周期终止（EOL）阶段，微软将不再为其提供安全补丁或更新。然而，许多组织仍依赖.NET ，并需要一种安全且符合规范的解决方案。
进入 NES for.NET
NES for.NET 是 HeroDevs 支持的.NET 版本，提供持续的安全更新、漏洞补丁和长期支持，确保您的应用程序始终保持安全、合规且正常运行。
重要事项
请注意，HeroDevs 报告的任何与.NET 相关的 CVE 问题.NET HeroDevs 专有的.NET 版本（即 NES for.NET）中.NET 专门处理和修复。
这些安全更新由 HeroDevs 独立开发和维护，微软不提供支持。
微软不会针对已停止支持（EOL）的.NET 版本（包括.NET ）报告、发布补丁或提供修复方案。建议需要持续获取.NET 安全更新的用户迁移至由 HeroDevs 维护和支持的 NES for.NET 。
这些安全更新由 HeroDevs 独立开发和维护，微软不提供支持。
微软不会针对已停止支持（EOL）的.NET 版本（包括.NET ）报告、发布补丁或提供修复方案。建议需要持续获取.NET 安全更新的用户迁移至由 HeroDevs 维护和支持的 NES for.NET 。
全球领导者的信赖
我们对.NET 的承诺
在 HeroDevs，我们认可并感谢微软在构建和维护.NET 所发挥的领导作用。微软对开源开发的支持，培育了一个由开发者、企业和贡献者组成的充满活力的社区。
作为该生态系统的一部分，HeroDevs 很荣幸成为首家提供产品生命周期结束（EOL）后支持.NET ——确保依赖.NET 的企业能够继续安全、高效地运营，避免因运行过时软件而带来的风险。
作为该生态系统的一部分，HeroDevs 很荣幸成为首家提供产品生命周期结束（EOL）后支持.NET ——确保依赖.NET 的企业能够继续安全、高效地运营，避免因运行过时软件而带来的风险。
CVE 保护
解决.NET 中的安全漏洞
HeroDevs 积极监控并处理影响.NET 的漏洞，包括在微软官方支持结束后发现的 CVE。
使用 NES for.NET 的组织可获得以下优势：
主动安全更新，防止漏洞利用
立即修复新发现的漏洞
确保符合行业法规
严重性
身份证
技术
受影响的图书馆
类别
受影响的版本
发布日期
高
.NET
.NET Windows Presentation Foundation）
对代码生成控制不当（“代码注入”）
>= 6.0.0 <= 6.0.42
2026年8月3日
中型
.NET
MessagePack-C#
低效的算法复杂度
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
无限制且无限流的资源分配
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
无限制且无限流的资源分配
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
未受控的递归
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
未受控的递归
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
低效的算法复杂度
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
中型
.NET
MessagePack-C#
无限制且无限流的资源分配
对高度压缩数据处理不当（数据放大）
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.2
2026年7月29日
中型
.NET
MessagePack-C#
使用不安全的默认值初始化资源
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.3
2026年7月29日
高
.NET
MessagePack-C#
未受控的递归
MessagePack < 2.5.301; MessagePack >= 3.0 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.2
2026年7月29日
高
.NET
MessagePack-C#
输入验证不当（4.16）
MessagePack < 2.5.301; MessagePack >= 3.0.214-rc.1 < 3.1.7; NES Essentials Plus MessagePack 2.5.192.x before 2.5.192.2
2026年7月29日
高
.NET
ASP.NET Core / SignalR MessagePack 协议
无节制的资源消耗
>= 6.0.0 <= 6.0.40 (Blazor Server) · >= 6.0.0 <= 6.0.41 (SignalR.Protocols.MessagePack)
2026年8月7日
高
.NET
.NET 桌面运行时 / Windows Presentation Foundation (WPF)
输入验证不当（4.16）
基于堆的缓冲区溢出
>= 6.0.0 <= 6.0.40
2026年8月7日
高
.NET
.NET
无节制的资源消耗
输入验证不当（4.16）
System.Security.Cryptography.Xml >= 6.0.0 <= 6.0.2
2026年8月10日
高
.NET
.NET
输入验证不当（4.16）
基于栈的缓冲区溢出
System.Security.Cryptography.Xml >= 6.0.0 <= 6.0.2
2026年8月10日
高
.NET
.NET / System.Net.Mail
特殊元素中和不当
.ASP.NET Core: >= 6.0.0 <= 6.0.39 >= 8.0.0 <= 8.0.25 >= 9.0.0 <= 9.0.14 <= 10.0.0 <= 10.0.5
2026年4月15日
高
.NET
.NET 桌面运行时 / Windows Presentation Foundation (WPF)
基于堆的缓冲区溢出
输入验证不当（4.16）
>= 6.0.0 <= 6.0.40
2026年8月7日
高
.NET
.NET / System.Security.Cryptography.Xml
无节制的资源消耗
XML 外部实体引用的限制不当
ASP.NET Core: >= 6.0.0 <= 6.0.39 >= 8.0.0 <= 8.0.25 >= 9.0.0 <= 9.0.14 <= 10.0.0 <= 10.0.5
2026年4月15日
高
.NET
ASP.NET Core Runtime Microsoft.AspNetCore.Identity
弱认证
ASP.NET Core: >= 6.0.0 <= 6.0.36 Microsoft.AspNetCore.Identity: <= 2.3.0
2025 年 7 月 9 日
关键
.NET
ASP.NET Core Runtime、Microsoft.AspNetCore.Server.Kestrel.Core
对 HTTP 请求的解释不一致
ASP.NET Core: >= 6.0.0 <= 6.0.36 >= 8.0.0 <= 8.0.20 >= 9.0.0 <= 9.0.9 <= 10.0.0-rc.1 Microsoft.AspNetCore.Server.Kestrel.Core: <= 2.3.0
2025 年 10 月 17 日
高
.NET
.NET
文件访问前的链接解析不当（“链接追踪”）
Microsoft.Build.Tasks.Core >= 17.8.0 <= 17.14.8; as bundled in the .NET 6 SDK through NES for .NET 6.0.44
2026年8月19日
高
.NET
.NET
资源注入
Microsoft.Build.Tasks.Core >= 17.0.0 <= 17.8.3; as bundled in the .NET 6 SDK through NES for .NET 6.0.44
2026年8月19日
高
.NET
ASP.NET Core Runtime; Microsoft.AspNetCore.Identity
弱认证
ASP.NET Core: >= 6.0.0 <= 6.0.36 >= 8.0.0 <= 8.0.13 >= 9.0.0 <= 9.0.2 Microsoft.AspNetCore.Identity: <= 2.3.0
2025 年 4 月 4 日
高
.NET
MessagePack-C#
弱哈希的使用
MessagePack < 2.5.187; MessagePack >= 2.6.95-alpha < 3.0.214-rc.1; NES Essentials Plus MessagePack fork (2.5.192.x): not affected.
2026年7月29日
高
.NET
.NET System.Text.Json）
低效的算法复杂度
System.Text.Json >= 6.0.0 < 6.0.10; System.Text.Json >= 8.0.0 < 8.0.5
2026年7月29日
高
.NET
ASP.NET Core 运行时
免费后使用
>= 6.0.0 <= 6.0.36 >= 8.0.0 <= 8.0.8 >= 9.0.0-preview.1.24081.5 <= 9.0.0.RC.1
2025 年 4 月 4 日
中型
.NET
适用于.NET 的 Azure Identity 程序库.NET Azure.Identity)
保护措施不足的凭据
Azure.Identity < 1.11.0
2026年7月29日
有关在报废软件中发现的 CVE 的更多详情，请访问我们的漏洞目录。
资源
查看所有文章
