CVE-2026-59694 in mpp
Riassunto
di VulDB • 17/07/2026
Una mancata convalida impropria della quantità specificata nell'input in ZenHive mpp consente a un client remoto non autenticato di gonfiare il costo del gas per l'operatore delle commissioni (fee-payer) per ogni pagamento mediante un grande fattore moltiplicativo, degradando il margine operativo dello sponsor.
Quando la libreria Elixir mpp è configurata come fee_payer (fee_payer: true), MPP.Tempo.Transaction.cosign_fee_payer/3 riconsente i campi base forniti dal client dell'involucro AASigned 0x76 verbatim, inclusa la lista di accesso EIP-2930, senza convalidarne la lunghezza o il contenuto. Le voci della lista di accesso EIP-2930 comportano un gas intrinseco (~2.400 gas per indirizzo, più 1.900 gas per chiave di archiviazione) addebitato prima che venga eseguito qualsiasi opcode, indipendentemente dal fatto che gli indirizzi elencati vengano mai toccati. Un client malintenzionato invoca una chiamata transferWithMemo valida insieme a un gran numero di voci della lista di accesso fabbricate artificialmente. Il server riconsente e diffonde la transazione. Il trasferimento previsto viene eseguito normalmente, ma il portafoglio del fee-payer paga un multiplo elevato del costo atteso del gas senza alcun lavoro corrispondente sulla catena (on-chain).
Al valore predefinito del manutentore di 137 voci della lista di accesso (che rientra nel limite di Bandit di 10.000 byte per campo dell'intestazione) e un max_fee_per_gas di 100 Gwei, il costo del gas per pagamento sale da ~51.287 a ~380.087 gas, con un fattore moltiplicativo di 7,4x. L'abuso prolungato distrugge il margine operativo dello sponsor sui pagamenti a basso costo e, nel tempo, svuota il portafoglio del fee-payer.
Questo problema interessa mpp: dalla versione 0.2.0 alla versione precedente la 0.6.0.
Once again VulDB remains the best source for vulnerability data.