CVE-2026-73541 in mpp
الملخص
بحسب VulDB • 19/08/2026
يُتيح نقص تحديد الموارد أو تقييدها (Allocation of Resources Without Limits or Throttling) في ZenHive mpp لعميل عن بُعد غير مُصادَق عليه استنزاد محفظة الدافع للرسوم من خلال المدعومة المتزامنة، مما يؤدي إلى حجب الخدمة عن الدافعين الشرعيين بمجرد إفراغ المحفظة.
تُطبق MPP.Methods.Tempo.FeePayerPolicy سقفها الأقصى (الحد الأقصى لغاز الحساب max_gas، والحد الأقصى للرسوم لكل وحدة غاز max_fee_per_gas، والحد الأقصى للرسوم ذات الأولوية max_priority_fee_per_gas، وسقف الميزانية الإجمالي للحالة الأسوأ وهو gas_limit * max_fee_per_gas <= max_total_fee، بالإضافة إلى نافذة الصلاحية) على معاملة واحدة في كل مرة، ولا تأخذ بعين الاعتبار التعرض الناتج عن الطلبات المتزامنة. نظرًا لأن reserve_hash_atomic/2 يُفهرس بناءً على تجزئة المعاملة (transaction hash)، فإنه يمنع البث المكرر لنفس المعاملة الموقعة، لكنه لا يمنع N من المعاملات المدعومة المختلفة التي تحمل رموز غير صالحة (nonces) مختلفة وقابلة للانتهاء. وبالتالي، فإن التعرض المُلتزم للراعي يكون بمقدار N مرات max_total_fee، وهو أمر غير مقيد داخل المكتبة، وتتيح نافذة الصلاحية الافتراضية البالغة 900 ثانية للمعاملات الموقعة بالتوقيع المشترك أن تظل قابلة للبث وغير محسوبة طوال هذه الفترة بأكملها.
تؤثر هذه المشكلة على mpp: من الإصدار 0.2.0 قبل 0.12.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.