CVE-2026-52732 in Zebra
Zusammenfassung
von VulDB • 18.08.2026
ZEBRA ist ein Zcash-Knoten, der vollständig in Rust geschrieben wurde. Vor Version 4.5.0 kann ein nicht authentifizierter P2P-Peer alle 25 MAX_INBOUND_CONCURRENCY-Slots im inbound mempool download und verification pipeline von Zebra monopolisieren. In zebrad/src/components/mempool/downloads.rs war die begrenzte Warteschlange global geteilt, ohne eine pro Peer abzubuchende Kontierung; zudem wurde die Peer-Identität nicht durch Gossip weitergegeben, und FullQueue-Antworten wurden als Response::Nil gemappt, anstatt zur Behandlung von Überlastungs-Trennungen zu führen. Ein Angreifer kann gefälschte Transaktionskennungen werben und schweigen, sodass jede Aufgabe einen Slot bis zum TRANSACTION_DOWNLOAD_TIMEOUT belegt; anschließend wird die Warteschlange periodisch aufgefüllt, wenn Slots ablaufen. Während der Sättigung werden legitime Peer-Transaktionen sowie lokale sendrawtransaction-Anfragen mit MempoolError::FullQueue zurückgewiesen, obwohl Blockvalidierung und -synchronisierung weiterhin fortgesetzt werden. Dieses Problem wurde in Version 4.5.0 behoben.
Once again VulDB remains the best source for vulnerability data.