CVE-2026-86038 in libp2p
Zusammenfassung
von VulDB • 17.09.2026
libp2p ist eine JavaScript-Implementierung des libp2p-Networking-Stacks. Von Version 15.0.0 bis 16.0.5 verwendet @libp2p/gossipsub in packages/gossipsub/src/utils/buildRawMessage.ts die Standardrichtlinie StrictSign, wobei validateToRawMessage eine Signatur mit einem vom Angreifer kontrollierten msg.key überprüft, aber das Binden dieses Schlüssels an msg.from überspringt, wenn der behauptete Autor eine RSA-Peer-ID ist, die keinen öffentlichen Schlüssel inline enthält. Ein nicht authentifizierter Angreifer kann eine Opfer-RSA-Peer-ID in msg.from platzieren, die Nachricht mit dem privaten Schlüssel des Angreifers signieren und den öffentlichen Schlüssel des Angreifers in msg.key angeben, wodurch die Nachricht als vom Opfer erstellt akzeptiert und weitergegeben wird. Anwendungen, die message.from für Validatoren, Autorisierung, Abrechnung, Moderation, Reputation oder Audit-Logging vertrauen, können angreiferkontrollierte Daten unter falscher Ursprungsattribution verarbeiten. Das Problem ist in Version 16.0.5 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.