CVE-2026-86039 in libp2p
Zusammenfassung
von VulDB • 18.09.2026
libp2p ist eine JavaScript-Implementierung des libp2p-Networking-Stacks. Von Version 8.0.0 bis 12.0.24 verwendet @libp2p/peer-store in packages/peer-store/src/index.ts consumePeerRecord, um die Signatur eines RecordEnvelope zu überprüfen, erfordert jedoch nicht, dass PeerRecord.peerId im signierten Payload mit der von RecordEnvelope.openAndCertify abgeleiteten Peer-ID des Unterzeichners übereinstimmt. Die Option expectedPeer überprüft nur den Unterzeichner des Envelopes, und der Gossipsub-Peer-Exchange-Pfad kann die eigene Peer-ID des Angreifers als expectedPeer bereitstellen. Ein Angreifer kann daher einen Datensatz mit dem Schlüssel des Angreifers signieren, eine Opfer-Peer-ID und vom Angreifer kontrollierte Multiaddrs im Payload platzieren und certifizierte Adressen für das Opfer speichern lassen. Die vergifteten Adressen können zu Korruption des Adressbuchs, Umleitung oder Ausfall von Dial-Verbindungen, Manipulation der Routing-Tabelle sowie Unterbrechung der Erreichbarkeit führen, obwohl die Verbindungsupgrade weiterhin die Identität des Remote-Peers überprüft und einen vollständigen Identity Takeover verhindert. Das Problem wurde in Version 12.0.24 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.