CVE-2026-52739

Nome do Software Vulnerável e Versões Afetadas ZEBRA versões anteriores a 4.5.0

Description Um produtor de blocos malicioso pode fazer com que o processo zebrad seja encerrado ao colocar a mesma transação blindada (shielded) em um bloco pai não finalizado e em seu filho. Na função Chain::push em zebra-state/src/service/non finalized state/chain.rs, o software insere o hash da transação em tx loc by hash e afirma a unicidade antes de atualizar os dados blindados e executar as verificações de nullifier duplicado para Sprout, Sapling ou Orchard. Como as compilações de lançamento utilizam um perfil de pânico igual a aborto, a asserção disparada encerra todo o processo do nó. Isso ocorre porque a asserção de unicidade é executada antes que a validação contextual possa rejeitar a transação duplicada de forma limpa. A exploração requer dois blocos consecutivos minerados pelo invasor ou um bloco filho minerado pelo invasor imediatamente após um bloco honesto que incluiu a transação blindada do invasor.

Recommendations Atualize o ZEBRA para a versão 4.5.0.