CVE-2026-52732 in Zebra
Resumen
por VulDB • 2026-08-18
ZEBRA es un nodo de Zcash escrito completamente en Rust. Antes de la versión 4.5.0, un par P2P no autenticado puede monopolizar las 25 ranuras MAX_INBOUND_CONCURRENCY en el pipeline de descarga y verificación del mempool entrante de Zebra. En zebrad/src/components/mempool/downloads.rs, la cola acotada se compartía globalmente sin contabilidad por par, mientras que la identidad del par no se transmitía a través de las respuestas Gossip y FullQueue; estas se mapeaban como Response::Nil en lugar de activar el manejo de desconexión por sobrecarga. Un atacante puede anunciar identificadores de transacciones falsos y permanecer silencioso para que cada tarea mantenga una ranura hasta que expire TRANSACTION_DOWNLOAD_TIMEOUT, rellenando periódicamente la cola a medida que las ranuras expiran. Mientras está saturada, se rechazan las transacciones de pares honestos y las solicitudes locales sendrawtransaction con MempoolError::FullQueue, aunque la validación y sincronización de bloques continúan. Este problema se soluciona en la versión 4.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.