CVE-2026-105243: log4net descarta registros grandes no EventLogAppender

Advisory publicado por Jan Friedrich em 6 de outubro e replicado no feed oss-sec. A falha, identificada como CVE-2026-105243, está no EventLogAppender do Apache log4net: mensagens longas são truncadas para um tamanho fixo que excede o limite aceito pelo Windows Event Log e, então, descartadas sem aviso. A severidade é classificada como moderada, com CVSS 3.1 de 5.3 (média) e vetor de rede, sem privilégio e sem interação do usuário, com impacto de integridade baixo e sem impacto declarado em confidencialidade ou disponibilidade. As versões afetadas listadas são log4net 1.2.9 até antes da 3.5.0, e um intervalo de commits identificado por hash, anterior a um commit posterior também identificado por hash. O texto do feed é uma tradução automática e resumida da descrição; a lista de versões e o escopo devem ser conferidos na fonte original. Para quem depende desse appender em trilhas de auditoria, o risco prático é perder registros longos sem que a aplicação perceba. O texto não descreve uma correção específica além do limite de versão indicado.