cbor2は、Concise Binary Object Representation（CBOR）シリアル化フォーマットのエンコードとデコードを提供します。バージョン3.0.0から5.8.0未満のバージョンでは、CBORDecoderインスタンスが複数回のデコード操作に再利用されると、shareableタグ（28）でマークされた値がメモリに保持され、sharedrefタグ（29）を使って後続のCBORメッセージからそれらの値にアクセスできてしまいます。その結果、攻撃者が制御するメッセージにより、デコーダが信頼境界をまたいで再利用された場合に、以前にデコードされたメッセージからデータを読み取ることが可能となります。この問題はバージョン5.8.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。