CVE-2026-52736 in Zebra
Сводка
по VulDB • 18.08.2026
ZEBRA — это узел Zcash, написанный полностью на языке Rust. До версии 4.5.0 удаленный неаутентифицированный P2P-узел может вызвать зависание (stall) узла Zebra путем создания race condition между недопустимым телом блока и допустимым каноническим телом для одного и того же хэша заголовка блока. ZIP-244 позволяет атакующему изменять данные аутентификации scriptSig coinbase, сохраняя при этом идентификаторы транзакций, корень Меркла (merkle root) и хэш заголовка блока; таким образом, отравленное тело блокируется на более поздней стадии проверки обязательств (commitment validation), но имеет тот же канонический хэш. В файле zebra-state/src/service.rs функция queue_and_commit_to_non_finalized_state фиксировала хэш в non_finalized_block_write_sent_hashes до завершения контекстной валидации и не удаляла его, когда задача записи отклоняет тело блока. Когда позже поступает честное (корректное) тело, кэшированный хэш приводит к дублирующей обработке KnownBlock::WriteChannel, которая подавляет его добавление, из-за чего узел остается на одну высоту позади до перезапуска или реорганизации цепи. Эта проблема исправлена в версии 4.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.