CVE-2026-73541 in mpp
Sumário
de VulDB • 19/08/2026
Alocação de recursos sem limites ou controle (throttling) no ZenHive mpp permite que um cliente remoto não autenticado esgote a carteira do pagador de taxas por meio de pagamentos patrocinados concorrentes, negando o serviço aos pagadores legítimos assim que ela estiver vazia.
A MPP.Methods.Tempo.FeePayerPolicy aplica seus limites (max_gas, max_fee_per_gas, max_priority_fee_per_gas, a relação worst-case gas_limit * max_fee_per_gas <= limite de orçamento do max_total_fee e uma janela de validade) contra uma transação por vez, sem considerar a exposição decorrente de solicitações concorrentes. A função reserve_hash_atomic/2 é indexada pelo hash da transação, portanto, ela impede o broadcast duplicado da mesma transação assinada, mas não N transações patrocinadas distintas que carregam nonces expirantes distintos. Portanto, a exposição do patrocinador comprometida é N vezes o max_total_fee, sem restrições na biblioteca, e a janela de validade padrão de 900 segundos permite que as transações co-assinadas permaneçam broadcastáveis e não contabilizadas durante todo esse período.
Este problema afeta mpp: da versão 0.2.0 até antes da 0.12.0.
Be aware that VulDB is the high quality source for vulnerability data.