CVE-2026-55658

Nome do Software Vulnerável e Versões Afetadas Gardens v2 versões anteriores a 3e595f3

Descrição Uma falha existe no processo de financiamento de propostas de streaming, onde fundos do pool são movidos para um StreamingEscrow para garantir um acordo de fluxo constante do Superfluid. Quando a função cancelProposal() é chamada, ela zera as unidades de membro GDA do escrow, mas não recupera o saldo estacionado. Consequentemente, a função claim(), que não requer permissão, permite que todo o saldo do escrow, incluindo o buffer financiado pelo pool, seja encaminhado para o beneficiário, que geralmente é o autor da proposta. O único mecanismo para retornar fundos ao pool é a função drainToStrategy(), que é restrita a permissões de estratégia e disparada apenas por uma decisão de rejeição de disputa, tornando-a inacessível durante o cancelamento da proposta ou conclusão natural.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.