PT-2026-60735
CVE-2026-59694
·
تاريخ النشر
2026-07-17
·
تاريخ التحديث
2026-09-25
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mpp من 0.2.0 إلى 0.5.9
الوصف
يؤدي التحقق غير السليم من كمية المدخلات إلى السماح لعميل بعيد غير مصدق عليه بتضخيم تكلفة الغاز لكل دفعة بشكل كبير بالنسبة لدافع الرسوم، مما يقلل من هامش التشغيل للراعي. عندما يتم تكوين المكتبة كدافع للرسوم، تقوم الدالة
cosign fee payer/3 بإعادة توقيع الحقول الأساسية التي يوفرها العميل في المغلف 0x76 AASigned دون التحقق من طول أو محتويات قائمة الوصول EIP-2930. تتكبد إدخالات قائمة الوصول EIP-2930 تكاليف غاز داخلية بغض النظر عما إذا كانت العناوين مستخدمة أم لا. يمكن لعميل ضار إرسال استدعاء transferWithMemo مع العديد من إدخالات قائمة الوصول المزيفة، مما يتسبب في دفع محفظة دافع الرسوم مضاعفات كبيرة من تكلفة الغاز المتوقعة. وقد يؤدي ذلك إلى استنزاف محفظة دافع الرسوم تدريجيًا.التوصيات
تحديث mpp إلى الإصدار 0.6.0 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتعيين إعداد
fee payer على false لتعطيل رعاية تكلفة الغاز من جانب الخادم.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾