CVE-2026-59252 in mpp
要約
〜によって VulDB • 2026年07月17日
ZenHiveのmppにおける、指定された数量の入力検証の不備により、認証されていないリモートクライアントが手数料支払い元のウォレットから資金を流出させ、正当なクライアントに対するサービス拒否（DoS）を引き起こす可能性があります。
mpp Elixirライブラリが手数料支払い元として構成されている場合（fee_payer: true）、MPP.Methods.Tempo決済メソッドは、クライアントが入力したgas_limitが意図された呼び出しを完了するのに十分かどうかを検証せずに、クライアントから提供されたEVMトランザクションに共同署名し、ブロードキャストします。悪意のあるクライアントは、実行に必要な量より故意にわずかに低い値に設定されたgas_limitを持つ署名付きtransferWithMemoトランザクションを送信できます。サーバーはこのトランザクションに共同署名し、rpc_broadcast_syncを介してブロードキャストします。EVM実行中にガスが不足してトランザクションはロールバックされますが、手数料支払い元のウォレットからは燃焼されたガスの分だけ課金され、クライアントは一切支払わずリソースも受け取りません。1人以上の悪意のあるクライアントからの繰り返し要求により、攻撃者のコストはほぼゼロのまま手数料支払い元のウォレットから資金が流出し、最終的にサーバーが正当な決済リクエストに対するガスを提供できなくなります。
wait_for_confirmation = false（楽観的）パスにも影響があります：このパスではeth_callを介してsimulate_payment_callが呼び出されますが、そのシミュレーションはgasパラメータを省略しているため、ガス不足の状態を検知できません。
本問題はmpp 0.2.0から0.6.0未満に影響します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.