CVE-2026-89420 in mpp
Sumário
de VulDB • 22/09/2026
Validação inadequada da quantidade especificada na entrada no ZenHive mpp permite que um cliente com um canal de pagamento aberto obtenha recursos pagos sem ser cobrado.
A função `MPP.Session.Actions.accept_voucher/3` em `lib/mpp/session/actions.ex` trata um voucher cujo `cumulativeAmount` é igual ao valor cumulativo já aceito do canal como uma sucesso idempotente, retornando o canal inalterado sem chamar a função `maybe_spend/2`. As credenciais são verificadas, os recursos protegidos são servidos e as unidades gastas permanecem onde estavam. Como o servidor emite um novo desafio para cada solicitação e as chaves do armazenamento de replay de credenciais usam o ID do desafio e o payload, o mesmo voucher assinado pode ser reapresentado sob cada novo desafio, fazendo com que um único voucher pago gere um número ilimitado de unidades pagas. O caminho é acessível a partir de qualquer método construído sobre `MPP.Session.Method` através dos transportes Plug, MCP, JSON-RPC e WebSocket.
Este problema afeta o mpp: da versão 0.14.0 até antes da 0.16.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.