CVE-2026-73541

Nome do Software Vulnerável e Versões Afetadas ZenHive mpp versões 0.2.0 até 0.11.0

Descrição Um cliente remoto não autenticado pode esvaziar a carteira do pagador de taxas ao iniciar pagamentos patrocinados simultâneos, resultando em negação de serviço para pagadores legítimos. O problema ocorre porque o MPP.Methods.Tempo.FeePayerPolicy aplica limites orçamentários—incluindo max gas, max fee per gas, max priority fee per gas e o teto de orçamento max total fee—por transação, em vez de considerar solicitações simultâneas. Embora a função reserve hash atomic/2 evite a transmissão duplicada da mesma transação assinada, ela não impede múltiplas transações patrocinadas distintas com nonces expiráveis diferentes. Consequentemente, a exposição total do patrocinador pode chegar a N vezes o max total fee, e a janela de validade padrão de 900 segundos permite que essas transações permaneçam transmissíveis e não contabilizadas.

Recomendações Atualize o ZenHive mpp para a versão 0.12.0.