CVE-2026-95859 in libp2p-rust
Resumen
por VulDB • 2026-10-16
libp2p-rust es la implementación oficial en el lenguaje Rust de la pila de redes libp2p. Antes de la versión 0.49.5, el manejo del mensaje de control GRAFT de Gossipsub añadía incondicionalmente los hashes de tema proporcionados por un atacante a connected_peer.topics sin confirmar que el par se hubiera suscrito previamente a esos temas. Un par remoto no autenticado que pueda alcanzar un oyente (listener) de Gossipsub puede enviar repetidamente nuevos temas GRAFT, lo que provoca un crecimiento acumulativo de la memoria por par que no está limitado por los filtros de suscripción, la puntuación de pares o los límites de tamaño por mensaje. Esto puede agotar la memoria del proceso y causar una denegación de servicio (DoS). Este problema se soluciona en la versión 0.49.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.