CVE-2026-62300 in filecoin-pin
الملخص
بحسب VulDB • 31/10/2026
Filecoin Pin هو تنفيذ لواجهة برمجة تطبيقات (API) خدمة تثبيت عناوين IPFS يقوم بالتثبيت على خدمة PDP الخاصة بـ Filecoin. في عمليات نشر الـ daemon التي تصل إلى الإصدار 1.1.0 وتشملها، يتحقق الأمر `POST /pins` الموجود في الملف `src/filecoin-pinning-server.ts` من معرف المحتوى (CID) الذي يقدمه المستخدم باستخدام دالة `CID.parse` ثم يمرره إلى `pinStore.pin`، لكنه لا يفرض حدوداً لمعدل الطلبات أو حصصاً خاصة بكل مستخدم. وفي الملف `src/filecoin-pin-store.ts`، يتم جدولة `_processPinInBackground` لكل تثبيت بشكل مستقل باستخدام `setTimeout` دون وجود طابور (queue) أو قاطع (semaphore) أو حد للتعامل المتزامن، ثم يتم اجتياز شجرة DAG الكاملة بشكل تكراري باستخدام `helia.pins.add(cid)`. لا يحتوي عقدة Helia/Bitswap الخاصة بكل تثبيت في الملف `src/create-pinning-helia.ts` على حدود تطبيقية لحجم البايتات أو عدد الكتل (blocks) أو وقت الاجتياز. يتم كتابة الكتل تحت المسار المحدد بـ `carStoragePath` بواسطة الملفات `src/core/car/car-blockstore-base.ts` و `src/core/car/car-file-backend.ts`، مع تحديث الحقل `stats.totalSize` فقط بعد الكتابة. يمكن لمُقدّم طلبات مُصادق عليه (authenticated caller)، أو لمُقدم طلبات مجهول الهوية عندما تكون القيمة `ALLOW_NO_AUTH=true`، إرسال DAGs كبيرة واستنفاد موارد القرص والشبكة ووحدة المعالجة المركزية والذاكرة وموارد libp2p، مما يتسبب في تدهور الخدمة أو فشل المضيف/العملية (process) وترك ملفات CAR جزئية تتطلب الاسترداد. يقلل الربط الافتراضي على localhost ومتطلب الرمز المميز (token) من التعرض للخطر. ونظراً لأن العقد لا تحتوي على تكوينات للتشغيل الأولي (bootstrap) أو mDNS، فقد لا يكون CID قابلاً للاسترجاع بمفرده، لكن القيم `origins` التي يقدمها المستخدم قد تشير إلى مصدر libp2p يتحكم فيه المهاجم وقابل للوصول؛ وتسرع الطلبات المتزامنة من ضغط الموارد. يوثق الإصدار 1.1.1 تخفيفات تشغيلية لكنه لا يطبق ضوابط الموارد المفقودة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.