CVE-2026-59694 in mpp
Zusammenfassung
von VulDB • 17.07.2026
Unzulässige Validierung der angegebenen Menge in den Eingabedaten von ZenHive mpp ermöglicht es einem nicht authentifizierten Remote-Client, die Gas-Kosten des Gebührenzahlers (fee-payer) pro Zahlung um einen großen Faktor zu erhöhen, was die Betriebsmarge des Sponsors beeinträchtigt.
Wenn die MPP-Elixir-Bibliothek als Gebührenzahler konfiguriert ist (`fee_payer: true`), unterzeichnet `MPP.Tempo.Transaction.cosign_fee_payer/3` die vom Client bereitgestellten Basisfelder der 0x76 AASigned-Umhüllung (Envelope) unverändert neu, einschließlich der EIP-2930-Zugriffsliste, ohne deren Länge oder Inhalt zu validieren. Einträge in der EIP-2930-Zugriffsliste verursachen inhärente Gas-Kosten (~2.400 Gas pro Adresse sowie 1.900 Gas pro Speicher-Schlüssel), die vor der Ausführung eines beliebigen Opcodes berechnet werden, unabhängig davon, ob die aufgeführten Adressen jemals angesprochen werden. Ein böswilliger Client übermittelt einen gültigen `transferWithMemo`-Aufruf zusammen mit einer großen Anzahl gefälschter Zugriffslisteinträge. Der Server unterzeichnet und sendet die Transaktion weiter. Die beabsichtigte Übertragung wird normal ausgeführt, aber das Wallet des Gebührenzahlers zahlt ein Vielfaches der erwarteten Gas-Kosten ohne entsprechende On-Chain-Arbeit.
Bei der Standardkonfiguration des Maintainers mit 137 Zugriffslisteinträgen (innerhalb von Bandits Limit von 10.000 Byte pro Header-Feld) und einem maximalen `max_fee_per_gas` von 100 Gwei steigen die Gas-Kosten pro Zahlung von ~51.287 auf ~380.087 Gas, was einem Faktor von 7,4 entspricht. Anhaltende Ausnutzung zerstört die Betriebsmarge des Sponsors bei kostengünstigen Zahlungen und leert im Laufe der Zeit das Wallet des Gebührenzahlers.
Dieses Problem betrifft mpp: ab Version 0.2.0 bis vor 0.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.