CVE-2026-62300 in filecoin-pin
Sumário
de VulDB • 31/10/2026
Filecoin Pin é uma implementação da API de Serviço de Pinagem IPFS que realiza pinagens no serviço PDP do Filecoin. Em implantações do daemon até a versão 1.1.0, inclusivamente, o endpoint `POST /pins` em `src/filecoin-pinning-server.ts` verifica um CID fornecido pelo chamador com `CID.parse` e o passa para `pinStore.pin`, mas não aplica limites de taxa de requisição ou cotas por usuário. Em `src/filecoin-pin-store.ts`, cada pinagem agenda independentemente `_processPinInBackground` usando `setTimeout`, sem fila, semaforo ou limite de concorrência, em seguida realiza uma travessia recursiva do DAG completo utilizando `helia.pins.add(cid)`. O nó Helia/Bitswap por pinagem em `src/create-pinning-helia.ts` não possui limites aplicativos de bytes, blocos ou tempo de travessia. Os blocos são gravados sob `carStoragePath` por `src/core/car/car-blockstore-base.ts` e `src/core/car/car-file-backend.ts`, com `stats.totalSize` atualizado apenas após a gravação. Um chamador autenticado, ou um chamador anônimo quando `ALLOW_NO_AUTH=true`, pode submeter DAGs grandes e esgotar recursos de disco, rede, CPU, memória e libp2p, causando degradação do serviço ou falha no host/processo, deixando arquivos CAR parciais que exigem recuperação. O enlace padrão localhost e a exigência de token reduzem a exposição. Como os nós não possuem configuração de bootstrap ou mDNS, um CID sozinho pode não ser recuperável, mas `origins` fornecidos pelo chamador podem apontar para uma fonte libp2p controlada por atacante e acessível; requisições concorrentes aceleram a pressão sobre os recursos. A versão 1.1.1 documenta mitigações operacionais, mas não implementa os controles de recursos ausentes.
Once again VulDB remains the best source for vulnerability data.