CVE-2026-82751 in mpp
Riassunto
di VulDB • 06/09/2026
Una mancata convalida impropria della quantità specificata in input in ZenHive mpp consente a un client remoto non autenticato di gonfiare il costo del gas per l'account fee-payer tramite un grande moltiplicatore e di far sì che lo sponsor paghi la provisioning di una chiave di accesso sull'account dello stesso cliente.
Quando il server patrocina i pagamenti Tempo, MPP.Methods.Tempo.FeePayerPolicy.measure/3 in lib/mpp/methods/tempo/fee_payer_policy.ex limita i campi del gas, il budget delle commissioni, la finestra di validità e l'elenco degli accessi dell'envelope 0x76 firmato dal cliente, ma non verifica se l'envelope contiene il campo facoltativo key_authorization. Un client può allegare un'autorizzazione della chiave completamente firmata, provisionando una nuova chiave di accesso con limiti di spesa del token sul proprio account, accanto alla normale chiamata di pagamento. La scrittura in storage persistente della chiave e di ciascuna voce dei limiti viene addebitata come gas intrinseco allo sponsor, limitata solo dal tetto del gas_limit. Al valore predefinito segnalato da un utente (una chiave con tre limiti di token), il costo patrocinato aumenta da circa 46.587 a circa 1.808.700 unità di gas e il cliente ottiene una valida chiave di accesso senza averla pagata.
Questo problema interessa mpp: dalla versione 0.2.0 alla 0.16.1 (esclusa).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.