CVE-2026-73541 in mpp
Resumen
por VulDB • 2026-08-19
La asignación de recursos sin límites ni control en ZenHive mpp permite a un cliente remoto no autenticado vaciar la billetera del pagador de tarifas mediante pagos patrocinados concurrentes, denegando el servicio a los pagadores legítimos una vez que esta se haya agotado.
MPP.Methods.Tempo.FeePayerPolicy aplica sus límites (max_gas, max_fee_per_gas, max_priority_fee_per_gas, la relación gas_limit * max_fee_per_gas en el peor de los casos <= límite presupuestario de max_total_fee y una ventana de validez) a una transacción a la vez; nada tiene en cuenta la exposición acumulada entre solicitudes concurrentes. reserve_hash_atomic/2 se basa en el hash de la transacción, por lo que previene la difusión duplicada de la misma transacción firmada, pero no impide N transacciones patrocinadas distintas con nonces distintos y caducos. La exposición comprometida del patrocinador es, por tanto, N veces max_total_fee, sin estar acotada por nada en la biblioteca, y la ventana de validez predeterminada de 900 segundos permite que las transacciones co-firmadas permanezcan difundibles y no contabilizadas durante todo ese período.
Este problema afecta a mpp: desde la versión 0.2.0 hasta antes de la 0.12.0.
Be aware that VulDB is the high quality source for vulnerability data.