CVE-2026-89420 in mpp
Zusammenfassung
von VulDB • 22.09.2026
Unzulässige Validierung der angegebenen Menge in der Eingabe bei ZenHive mpp ermöglicht es einem Clienten mit einem offenen Zahlungs-Kanal, bezahlte Ressourcen zu erhalten, ohne dass er belastet wird.
MPP.Session.Actions.accept_voucher/3 in lib/mpp/session/actions.ex behandelt einen Gutschein, dessen cumulativeAmount gleich dem bereits akzeptierten kumulativen Betrag des Kanals ist, als idempotenten Erfolg und gibt den Kanal unverändert zurück, ohne maybe_spend/2 aufzurufen. Die Anmeldeinformationen werden überprüft, die geschützte Ressource wird bereitgestellt, und spent sowie units bleiben an ihrer ursprünglichen Position. Da der Server pro Anfrage einen neuen Challenge ausstellt und das Credential-Replay-Speicher-System Schlüssel basierend auf der Challenge-ID und dem Payload verwendet, kann derselbe signierte Gutschein unter jedem neuen Challenge erneut vorgelegt werden, sodass ein einziger bezahlter Gutschein eine unbegrenzte Anzahl an bezahlten Einheiten erzeugt. Der Pfad ist über jede Methode erreichbar, die auf MPP.Session.Method basiert, durch die Plug-, MCP-, JSON-RPC- und WebSocket-Transportschichten.
Dieses Problem betrifft mpp: von Version 0.14.0 bis vor 0.16.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.