Alleysira

**Nome do Software Vulnerável e Versões Afetadas** @libp2p/gossipsub versões 15.0.0 até 16.0.4 **Description** Na política padrão `StrictSign`, a função `validateToRawMessage()` em `packages/gossipsub/src/utils/buildRawMessage.ts` falha ao vincular a chave pública fornecida em `msg.key` ao autor alegado em `msg.from` quando o autor é um ID de peer RSA que não incorpora sua chave pública. Um invasor não autenticado pode falsificar o ID de peer RSA de uma vítima, colocando-o em `msg.from`, assinando a mensagem com sua própria chave privada e fornecendo sua própria chave pública em `msg.key`. Isso permite que a mensagem seja aceita e propagada como se tivesse sido escrita pela vítima. Aplicações que confiam em `message.from` para autorização, contabilização, moderação, reputação ou logs de auditoria podem processar dados controlados por invasores sob atribuição de origem falsa. **Recommendations** Atualize o @libp2p/gossipsub para a versão 16.0.5.

**Nome do Software Vulnerável e Versões Afetadas** @libp2p/peer-store versões 8.0.0 até 12.0.23 **Description** No componente `@libp2p/peer-store`, a função `consumePeerRecord()` verifica a assinatura de um `RecordEnvelope`, mas não garante que o `PeerRecord.peerId` no payload assinado seja igual ao ID do peer signatário derivado por `RecordEnvelope.openAndCertify()`. Como a opção `expectedPeer` valida apenas o signatário do envelope, um invasor pode assinar um registro com sua própria chave, incluindo o ID de um peer vítima e multiaddrs controlados pelo invasor no payload. Isso permite que um invasor armazene endereços certificados para um peer vítima, resultando em corrupção do livro de endereços, manipulação de roteamento, interrupção de acessibilidade ou redirecionamento e falha de discagem. No entanto, isso não permite a tomada total de identidade, pois o processo de atualização de conexão ainda verifica a identidade do peer remoto. **Recommendations** Atualize o @libp2p/peer-store para a versão 12.0.24.