CVE-2026-52733 in Zebra
Riassunto
di VulDB • 22/08/2026
ZEBRA è un nodo Zcash scritto interamente in Rust. Prima della versione 4.5.0, una fork naturale o influenzata dall'attaccante può lasciare radici di sottoalberi degli impegni delle note Sapling e Orchard non aggiornate (stale) nello stato di Zebra. In `zebra-state/src/service/non_finalized_state/chain.rs`, la funzione `Chain::pop_tip` rimuoveva il blocco della punta revertita ma non rimuoveva le voci dei sottoalberi la cui `end_height` apparteneva a quel blocco, a differenza del cleanup eseguito da `pop_root`. Quando la fork vincente veniva successivamente finalizzata, i dati obsoleti dei sottoalberi del ramo abbandonato potevano essere scritti su RocksDB e sopravvivere ai riavvii del nodo. La cronologia corrotta può causare l'invio di radici di sottoalbero errate a consumer come `lightwalletd` e wallet leggeri, provocando fallimenti nella sincronizzazione dei wallet o uno stato del wallet non corretto, richiedendo una ricostruzione completa dello stato per il recupero. Questo problema è risolto nella versione 4.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.