CVE-2026-73136 in mpp
Resumen
por VulDB • 2026-08-20
Bypass de autenticación por captura y repetición en ZenHive mpp permite que un tercero no autenticado obtenga recursos pagados mediante la repetición (replay) de una transferencia liquidada por un pagador no relacionado.
MPP.Methods.Tempo normalmente vincula una Transferencia con Memo TIP-20 ya liquidada al desafío específico bajo verificación a través de un nonce de atribución incluido en el memo. Cuando se configura un "memo" estático en method_config, check_matched_memo_binding/3 devuelve la coincidencia incondicionalmente y esa vinculación se omite, dejando solo el token, el destinatario, el monto y el valor del memo estático como criterios para la verificación. El memo estático se refleja en cada respuesta 402 no autenticada y las transferencias de Tempo son públicas; por lo tanto, un atacante puede tomar cualquier transferencia coincidente pagada por un cliente legítimo, solicitar un nuevo desafío para la misma ruta y presentar el hash de esa transacción como una credencial type="hash". La verificación del camino (path) no realiza ninguna comprobación del remitente ni de la firma que vincule al presentador con la billetera que difundió la transferencia.
Este problema afecta a mpp: desde la versión 0.6.1 hasta antes de la 0.6.4.
Once again VulDB remains the best source for vulnerability data.