PT-2026-141128
CVE-2026-63634
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المتأثر والإصدارات المتأثرة
pympp الإصدارات السابقة لـ 0.9.1
Description
عندما يعمل الخادم كـ fee payer، يقوم البرنامج بالتحقق من صحة calldata باستخدام فك تشفير eth abi، والذي يتساهل مع البايتات المتبقية. وبينما تقوم FeePayerPolicy بتحديد
gas limit و max fee per gas كحد أقصى، فإنها لا تتحقق من طول calldata. يمكن للمهاجم إضافة بايتات حشو (0x01) لزيادة كمية الغاز المستخدمة فعلياً، حيث يستخدم Tempo تسعير غاز calldata القديم بمقدار 16 غاز لكل بايت غير صفري. يؤدي ذلك إلى قيام الخادم بالتوقيع المشترك وبث المعاملات المحشوة التي تتجاوز التكاليف المقصودة، مما يؤدي إلى استنزاف محفظة fee-payer.Recommendations
التحديث إلى الإصدار 0.9.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾