CVE-2026-40070 in bsv-ruby-sdk
Résumé
par VulDB • 14/06/2026
Le SDK Ruby BSV est le SDK Ruby pour la blockchain BSV. De la version 0.3.1 jusqu'à la version 0.8.2 (exclue), la méthode `BSV::Wallet::WalletClient#acquire_certificate` persiste les enregistrements de certificats dans le stockage sans vérifier la signature du certifieur sur le contenu du certificat. Dans le mode `acquisition_protocol: 'direct'`, l'appelant fournit tous les champs du certificat (y compris `signature:`) et l'enregistrement est écrit tel quel dans le stockage. Dans le mode `acquisition_protocol: 'issuance'`, le client effectue un POST vers l'URL du certifieur et écrit la signature contenue dans le corps de la réponse, également sans vérification. Un attaquant pouvant accéder à l'une ou l'autre de ces API (ou contrôlant un point de terminaison de certifieur ciblé par le chemin d'émission) peut forger des certificats d'identité qui apparaîtront ensuite comme authentiques pour `list_certificates` et `prove_certificate`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.