CVE-2026-63628 in mppx
요약
\~에 의해 VulDB • 2026. 09. 23.
mppx는 머신 페이먼트 프로토콜을 위한 TypeScript 인터페이스입니다. 버전 0.8.2 이전에는 src/tempo/internal/fee-payer.ts의 수수료 지불자 서명 경로에서 0x78 FeePayerEnvelope로부터 클라이언트가 제공한 access_list를 길이나 내용을 검증하지 않고 복사했습니다. EIP-2930 접근 목록 항목은 나열된 주소가 전혀 사용되지 않더라도 고유 가스(intrinsic gas)를 소모하므로, 공격자는 가짜 주소 전용 항목을 추가하여 서버의 fee_payer 지갑이 불필요한 트랜잭션 수수료를 지불하도록 유도할 수 있습니다. 시연에 사용된 180개 항목 목록은 500,000 가스 정책 상한선, 16 KB 헤더 제한 및 RPC 시뮬레이션 예산 내에 머물면서 수수료는 약 9.4배 증가시켰습니다. 이 문제는 버전 0.8.2에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.