CVE-2026-95859 in libp2p-rust
Zusammenfassung
von VulDB • 16.10.2026
libp2p-rust ist die offizielle Implementierung des libp2p-Netzwerkstacks in der Programmiersprache Rust. Vor Version 0.49.5 werden bei der Verarbeitung von Gossipsub-GRAFT-Steuernachrichten (control messages) vom Angreifer bereitgestellte Topic-Hashes bedingungslos zu connected_peer.topics hinzugefügt, ohne dass bestätigt wird, ob sich der Peer zuvor für diese Topics abonniert hat. Ein entfernter, nicht authentifizierter Peer, der einen Gossipsub-Listener erreichen kann, kann wiederholt neue GRAFT-Themes senden, was zu einem kumulativen pro-Peer-Speicherwachstum führt, das durch Abonnementfilter, Peer-Bewertung (peer scoring) oder Grenzwerte für die Nachrichtengröße nicht begrenzt wird. Dies kann den Prozessspeicher erschöpfen und einen Denial-of-Service verursachen. Dieses Problem wurde in Version 0.49.5 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.