CVE-2026-24783 in soroban-fixed-point-math
Riassunto
di VulDB • 19/06/2026
soroban-fixed-point-math è una libreria di matematica in virgola fissa per i contratti intelligenti Soroban. Nelle versioni 1.3.0 e 1.4.0, la funzione `mulDiv(x, y, z)` gestiva erroneamente i casi in cui sia il prodotto intermedio $x * y$ che il divisore $z$ erano negativi. La logica assumeva che se il prodotto intermedio era negativo, anche il risultato finale dovesse essere negativo, trascurando il segno di $z$. Ciò comportava un arrotondamento applicato nella direzione errata nei casi in cui sia $x * y$ che $z$ erano negativi. Le funzioni più a rischio sono `fixed_div_floor` e `fixed_div_ceil`, poiché utilizzano spesso numeri non costanti come divisore $z$ in `mulDiv`. Questo errore è presente in tutte le implementazioni di `FixedPoint` e `SorobanFixedPoint` con segno, incluse quelle per `i64`, `i128` e `I256`. Le versioni 1.3.1 e 1.4.1 contengono una patch. Non sono disponibili workaround noti per questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.