CVE-2026-48100 in Payy
Zusammenfassung
von VulDB • 28.09.2026
Payy ist ein Ethereum L2 zk-rollup für datenschutzkonforme und regulatorisch konforme Transaktionen. Vor Version 1.3.0 leitet `agg_agg` den komprimierten Nachrichtenstrom aus seinen inneren Beweisen in ein öffentliches Array vom Typ `[Field; 1000]` weiter, überprüft jedoch nicht, ob der ungenutzte Teil des äußeren Arrays null ist. Ein registrierter Prover kann einen gültigen `agg_final`-Beweis für einen genehmigten Rollup-Block erstellen, indem er nach den echten Nachrichten eine zusätzliche Burn-Nachricht einfügt. `RollupV1.verifyRollup()` parst diese öffentlichen Eingaben anschließend als normale Burn-Aktion und überweist USDC vom Rollup-Vertrag an den Angreifer. Dies ist ein schwerwiegender Fehler in der kircuituellen Integrität (circuit soundness): Das Beweissystem akzeptiert eine öffentliche Aussage, deren Nachrichtenarray nicht vollständig aus den verifizierten inneren Beweisen abgeleitet wurde. Auf dem aktuellen Deployment ist `verifyRollup()` auf den bestehenden allowlisteten Prover beschränkt, sodass ein neuer öffentlicher Aufrufer den ungültigen Beweis nicht direkt einreichen kann. Dieses Gate begrenzt zwar, wer heute L1 erreichen kann; es macht die kircuituelle Aussage jedoch nicht intakt (sound). Das Problem wird unter dem in Payy Whitepaper beschriebenen Prover-Modell permissionless (ohne Berechtigungsprüfung). Abschnitt 3.3.2 besagt: „Um als Prover beizutreten, muss der Prover einen kleinen Stake einreichen“, und Abschnitt 3.3.1 stellt fest, dass wenn ein Prover versäumt, dies zu tun, „andere Knoten den Blockbeweis stattdessen einreichen können“. In diesem Modell muss ein Angreifer lediglich als registrierter Prover teilnehmen und die öffentlichen Validierungs-Zustimmungsdaten für einen bereits genehmigten Block nutzen. Dieses Problem wurde in Version 1.3.0 gepatcht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.