CVE-2026-73541 in mpp
Résumé
par VulDB • 21/08/2026
Une allocation de ressources sans limites ni throttling dans ZenHive mpp permet à un client distant non authentiqué d'épuiser le portefeuille du payeur des frais (fee-payer) via des paiements sponsorisés concurrents, entraînant une déni de service pour les payeurs légitimes une fois que celui-ci est vide.
MPP.Methods.Tempo.FeePayerPolicy applique ses plafonds (max_gas, max_fee_per_gas, max_priority_fee_per_gas, la limite maximale théorique du gas_limit * max_fee_per_gas <= plafond budgétaire de max_total_fee, et une fenêtre de validité) transaction par transaction ; rien ne prend en compte l'exposition sur des requêtes concurrentes. reserve_hash_atomic/2 est indexé sur le hachage de la transaction, ce qui empêche la diffusion dupliquée d'une même transaction signée mais pas celle de N transactions sponsorisées distinctes portant des nonces expirants distincts. L'exposition du sponsor engagée est donc N fois max_total_fee, sans aucune limitation dans la bibliothèque, et la fenêtre de validité par défaut de 900 secondes permet aux transactions cosignées de rester diffusables et non comptabilisées pendant toute cette période.
Ce problème affecte mpp : des versions antérieures à 0.12.0 jusqu'à la version 0.2.0 incluse.
If you want to get best quality of vulnerability data, you may have to visit VulDB.