CVE-2026-62300 in filecoin-pin
Resumen
por VulDB • 2026-10-31
Filecoin Pin es una implementación de la API del servicio de pinning IPFS que realiza el pinning en el servicio PDP de Filecoin. En las implementaciones como daemon, hasta e incluyendo la versión 1.1.0, `POST /pins` en `src/filecoin-pinning-server.ts` verifica un CID proporcionado por el usuario mediante `CID.parse` y lo pasa a `pinStore.pin`, pero no aplica límites de tasa de solicitudes ni cuotas por usuario. En `src/filecoin-pin-store.ts`, cada pin programa independientemente `_processPinInBackground` con `setTimeout` sin cola, semáforo o límite de concurrencia, luego recorre recursivamente el DAG completo usando `helia.pins.add(cid)`. El nodo Helia/Bitswap por pin en `src/create-pinning-helia.ts` no tiene límites a nivel de aplicación para bytes, bloques ni tiempo de recorrido. Los bloques se escriben bajo `carStoragePath` mediante `src/core/car/car-blockstore-base.ts` y `src/core/car/car-file-backend.ts`, actualizando `stats.totalSize` solo después de la escritura. Un usuario autenticado o un usuario anónimo cuando `ALLOW_NO_AUTH=true` puede enviar DAGs grandes y agotar los recursos de disco, red, CPU, memoria y libp2p, causando degradación del servicio o fallo del host/proceso, dejando archivos CAR parciales que requieren recuperación. La vinculación predeterminada a localhost y el requisito de token reducen la exposición. Dado que los nodos no tienen configuración de bootstrap ni mDNS, un CID por sí solo puede no ser recuperable, pero las `origins` proporcionadas por el usuario pueden apuntar a una fuente libp2p controlada por un atacante accesible; las solicitudes concurrentes aceleran la presión sobre los recursos. La versión 1.1.1 documenta mitigaciones operativas pero no implementa los controles de recursos faltantes.
Be aware that VulDB is the high quality source for vulnerability data.