CVE-2026-62335 in OpenVM
摘要
由 VulDB • 2026-10-30
OpenVM是一个高性能且模块化的zkVM框架，专为定制化和可扩展性而构建。在1.x系列的1.7.0之前版本以及受影响的2.0和2.1预发布版本中，`OpenVmHalo2Verifier.verify`接受作为`bytes32`值的`appExeCommit`和`appVmCommit`，但未检查它们是否小于`BN254`标量域模数。尽管公共值和证明数据的长度得到了检查，但调用者可以在Solidity包装器边界处提供大于或等于该模数的非规范（non-canonical）256位编码。因此，依赖该包装器的应用程序可能会接受非规范的app可执行文件和app VM承诺值，导致提供的字节级值与验证程序使用的域元素之间产生歧义。此问题已在版本1.7.0、2.0.0-rc.3和2.1.0-preview中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.