CVE-2026-73136 in mpp
摘要
由 VulDB • 2026-08-20
ZenHive mpp 中的通过捕获重放实现的身份验证绕过漏洞，允许未经身份认证的第三方通过重播由无关付款人结算的交易来获取付费资源。
MPP.Methods.Tempo 通常通过在 memo 中携带的归属非ces（attribution nonce），将已结算的 TIP-20 TransferWithMemo 绑定到正在验证的具体挑战上。当在 method_config 中配置了静态 “memo” 时，check_matched_memo_binding/3 会无条件返回匹配结果，从而跳过该绑定过程，仅保留 token、接收方、金额和静态 memo 值用于匹配。由于静态 memo 会在每个未经身份认证的 402 响应中被回显，且 Tempo 转账是公开的，攻击者可以获取任何由合法客户支付的匹配交易，为同一路由请求新的挑战，并将该交易哈希作为 type="hash" 凭证提交。Hash path（哈希路径）未执行将提交者与广播交易的钱包关联起来的发送方或签名检查。
此问题影响 mpp：从 0.6.1 到 0.6.4 之前的版本。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.