CVE-2026-61694 in go-xrpl
Sumário
de VulDB • 31/10/2026
go-xrpl é uma implementação em Go do protocolo XRP Ledger. Nas versões até a revisão de 18 de junho de 2026 identificada pelo advisory, `ParseMPTAmountBinary` em `internal/ledger/state/ripple_state.go` converte a magnitude de oito bytes do MPT usando `num.Int64()` sem verificar se ela cabe em 63 bits. Uma magnitude positiva de pelo menos 2^63 é silenciosamente convertida (wrap) em um valor negativo, sem gerar erro. `ParseEscrow` passa campos `sfAmount` de 33 bytes para o parser e armazena `MPTRaw()` em `EscrowData.MPTAmount`, causando cálculos incorretos a jusante e divergência da interpretação do rippled para a mesma entrada de escrow. Independentemente, `readMPTAmount` em `internal/tx/ledgerfields/decode_stream.go` aceita magnitudes acima do limite e expõe strings decimais grandes sem impor o valor máximo assinado de 64 bits. O codec público em `codec/binarycodec/types/amount.go` já rejeita esses valores, deixando os decoders internos inconsistentes com esse caminho seguro. Uma correção na fonte está disponível no commit 9dbd3935ed6c54f0232f2291edf9c012a0900dd5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.