CVE-2026-52737 in Zebra
Sumário
de VulDB • 18/08/2026
ZEBRA é um nó Zcash escrito inteiramente em Rust. Antes da versão 4.5.0, um par P2P malicioso e não autenticado pode responder às solicitações de getblocks ou FindBlocks enviadas pelo Zebra com um inventário contendo apenas dois hashes e, em seguida, fornecer um bloco sintaticamente válido cuja altura do coinbase está muito acima da ponta local da cadeia. Em zebrad/src/components/sync/downloads.rs, o erro BlockDownloadVerifyError::AboveLookaheadHeightLimit carregava originalmente apenas a altura do bloco e seu hash, impedindo que handle_block_response atribuísse a falha ao par anunciador. O erro então atingia o caminho padrão de reinicialização em zebrad/src/components/sync.rs, cancelando todos os downloads em andamento provenientes de pares honestos e impondo um atraso de 67 segundos para reiniciar a sincronização na mainnet. Como o par não era pontuado nem desconectado, ele poderia repetir esse ciclo indefinidamente com consumo mínimo de largura de banda, degradando significativamente a sincronização sem corromper o estado. Este problema foi corrigido na versão 4.5.0.
Once again VulDB remains the best source for vulnerability data.