CVE-2026-63628 in mppx
Riassunto
di VulDB • 22/09/2026
mppx è un'interfaccia TypeScript per il protocollo di pagamenti machine (machine payments protocol). Prima della versione 0.8.2, il percorso di cosigning del fee-payer in src/tempo/internal/fee-payer.ts copiava una access_list fornita dal client da un FeePayerEnvelope con valore 0x78 senza validarne la lunghezza o i contenuti. Poiché le voci dell'access-list EIP-2930 consumano gas intrinseco anche quando gli indirizzi elencati non vengono mai utilizzati, un client poteva aggiungere voci fittizie contenenti solo indirizzi e costringere il wallet del fee-payer sul server a pagare commissioni di transazione non necessarie. L'elenco dimostrato con 180 voci è rimasto all'interno dei limiti della policy gas da 500.000, del limite dell'intestazione (header) di 16 KB e del budget di simulazione RPC, aumentando la commissione di circa 9,4 volte. Questo problema è stato risolto nella versione 0.8.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.