CVE-2026-73136

Nome do Software Vulnerável e Versões Afetadas ZenHive mpp versões 0.6.1 a 0.6.3

Descrição Existe uma falha de bypass de autenticação via capture-replay que permite que um terceiro não autenticado obtenha recursos pagos ao repetir uma transferência liquidada por outro pagador. No método MPP.Methods.Tempo, uma TransferWithMemo TIP-20 liquidada é normalmente vinculada a um desafio específico usando um nonce de atribuição no memo. No entanto, quando um memo estático é configurado em method config, a função check matched memo binding/3 retorna uma correspondência incondicionalmente, ignorando o processo de vinculação. Isso deixa apenas o token, destinatário, valor e o valor do memo estático para verificação. Como o memo estático é incluído em respostas 402 não autenticadas e as transferências Tempo são públicas, um invasor pode usar o hash de transação de uma transferência de um cliente legítimo como uma credencial type="hash" para um novo desafio. O caminho do hash não realiza verificações de remetente ou assinatura para verificar se o apresentador é o proprietário da carteira que transmitiu a transferência.

Recomendações Atualize o ZenHive mpp para a versão 0.6.4 ou posterior. Evite configurar um memo estático em method config para garantir que a vinculação de atribuição por desafio permaneça ativa.