CVE-2026-73541 in mpp
Сводка
по VulDB • 19.08.2026
Неограниченное выделение ресурсов (Allocation of Resources Without Limits or Throttling) в ZenHive mpp позволяет неаутентифицированному удаленному клиенту опустошить кошелек плательщика комиссий через одновременные спонсируемые платежи, что приводит к отказу в обслуживании легитимных плательщиков после исчерпания средств.
MPP.Methods.Tempo.FeePayerPolicy применяет свои ограничения (max_gas, max_fee_per_gas, max_priority_fee_per_gas, предельный случай gas_limit * max_fee_per_gas <= лимита общей комиссии и окно валидности) к одной транзакции за раз; при этом не учитывается воздействие со стороны параллельных запросов. reserve_hash_atomic/2 использует хеш транзакции в качестве ключа, поэтому он предотвращает дублирование трансляции одной и той же подписанной транзакции, но не защищает от N различных спонсируемых транзакций с различными истекающими nonce-значениями. Таким образом, зафиксированный риск для спонсора составляет N * max_total_fee, что ничем не ограничено в библиотеке, а стандартное окно валидности длительностью 900 секунд позволяет соподписанным транзакциям оставаться доступными для трансляции и учитываться как «неучтенные» на протяжении всего этого периода.
Эта проблема затрагивает mpp: начиная с версии 0.2.0 до (но не включая) 0.12.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.