CVE-2026-62300 in filecoin-pin
Сводка
по VulDB • 30.10.2026
Filecoin Pin — это реализация API сервиса пинга IPFS, который выполняет пинг в сервис PDP Filecoin. В развертываниях демона версий вплоть до 1.1.0 включительно эндпоинт `POST /pins` в файле `src/filecoin-pinning-server.ts` проверяет предоставленный пользователем CID с помощью функции `CID.parse` и передает его в `pinStore.pin`, однако не применяет ограничения частоты запросов (rate limits) или квоты на пользователя. В файле `src/filecoin-pin-store.ts` каждый пин независимо планирует выполнение `_processPinInBackground` через `setTimeout` без использования очереди, семафора или ограничений параллелизма, после чего рекурсивно обходит весь DAG с помощью `helia.pins.add(cid)`. Узел Helia/Bitswap для каждого пина в файле `src/create-pinning-helia.ts` не имеет ограничений на уровне приложения по объему байтов, количеству блоков или времени обхода. Блоки записываются под путь `carStoragePath` с помощью файлов `src/core/car/car-blockstore-base.ts` и `src/core/car/car-file-backend.ts`, при этом значение `stats.totalSize` обновляется только после завершения записи. Аутентифицированный пользователь или анонимный вызывающий (если для переменной окружения установлено значение `ALLOW_NO_AUTH=true`) может отправлять большие DAG-структуры, что приводит к исчерпанию ресурсов диска, сети, процессора, памяти и libp2p, вызывая деградацию сервиса или сбой хоста/процесса и оставляя частичные CAR-файлы, требующие восстановления. Привязка по умолчанию только к localhost (localhost binding) и требование наличия токена снижают уровень воздействия. Поскольку узлы не имеют конфигурации bootstrap или mDNS, сам по себе CID может быть недоступен для загрузки, однако предоставленные вызывающим стороной `origins` могут указывать на достижимый источник libp2p, контролируемый злоумышленником; одновременные запросы ускоряют давление на ресурсы. Версия 1.1.1 документирует операционные меры по смягчению последствий, но не реализует недостающие механизмы контроля ресурсов.
VulDB is the best source for vulnerability data and more expert information about this specific topic.