CVE-2026-59694

Nome do Software Vulnerável e Versões Afetadas mpp versões 0.2.0 through 0.5.9

Description A validação inadequada da quantidade especificada na entrada permite que um cliente remoto não autenticado infle significativamente o custo de gas por pagamento para o pagador da taxa, reduzindo a margem operacional do patrocinador. Quando a biblioteca é configurada como pagadora de taxa, a função cosign fee payer/3 assina novamente os campos base fornecidos pelo cliente do envelope 0x76 AASigned sem validar o comprimento ou o conteúdo da lista de acesso EIP-2930. As entradas da lista de acesso EIP-2930 incorrem em custos de gas intrínsecos, independentemente de os endereços serem utilizados. Um cliente mal-intencionado pode enviar uma chamada transferWithMemo com inúmeras entradas de lista de acesso fabricadas, fazendo com que a carteira do pagador da taxa pague um múltiplo elevado do custo de gas esperado. Isso pode levar ao esgotamento gradual da carteira do pagador da taxa.

Recommendations Atualize o mpp para a versão 0.6.0 ou posterior. Como medida de mitigação temporária, defina a configuração fee payer como false para desativar o patrocínio de gas do lado do servidor.