PT-2026-133786
CVE-2026-62162
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المتأثر والإصدارات المتأثرة
Hydra الإصدارات السابقة لـ 2.1.0
الوصف
يوجد خلل في فرع
Claim ضمن hydra-plutus/validators/deposit.ak حيث يتحقق النظام فقط من تطابق datum.head id مع redeemer.currencySymbol وأن المعاملة تتم قبل الموعد النهائي للإيداع. يفشل الإجراء في اشتراط إنفاق UTxO لرمز حالة Head في نفس المعاملة ولا يضع قيودًا على المخرجات. نتيجة لذلك، بعد تأكيد الإيداع عبر نقطة النهاية POST /commit ، يمكن لأي طرف ثالث استهلاك UTxO الخاص بالإيداع المعلق قبل الموعد النهائي وتوجيه الأصول إلى عنوان عشوائي. يحدث هذا لأن إنفاق الإيداع المستقل يتجاوز فحوصات الأمان الخاصة بـ Head validator. ينطبق هذا الهجوم على الإيداعات المعلقة ضمن الموعد النهائي الافتراضي، وهو ثلاثة أضعاف depositPeriod.التوصيات
التحديث إلى الإصدار 2.1.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾