E.Fu

**Nome do Software Vulnerável e Versões Afetadas** mpp versões 0.2.0 through 0.5.9 **Description** A validação inadequada de quantidades de entrada permite que um cliente remoto não autenticado esvazie a carteira do pagador de taxas, resultando em negação de serviço para clientes legítimos. Quando a biblioteca é configurada com `fee payer: true`, o método de pagamento `MPP.Methods.Tempo` co-assina e transmite transações EVM fornecidas pelo cliente sem verificar se o `gas limit` é suficiente. Um invasor pode enviar uma transação `transferWithMemo` com o `gas limit` definido logo abaixo do valor necessário. O servidor transmite isso via `rpc broadcast sync` e, embora a transação seja revertida por falta de gás, a carteira do pagador de taxas é cobrada pelo gás consumido. Além disso, o caminho otimista onde `wait for confirmation = false` é afetado porque a função `simulate payment call` via `eth call` omite o parâmetro de gás, não detectando condições de falta de gás. **Recommendations** Atualize o mpp para a versão 0.6.0 ou posterior. Como mitigação temporária, defina `fee payer` como `false` na configuração do `MPP.Methods.Tempo` para desativar o patrocínio de gás pelo servidor.

**Nome do Software Vulnerável e Versões Afetadas** mpp versões 0.2.0 through 0.5.9 **Description** A validação inadequada da quantidade especificada na entrada permite que um cliente remoto não autenticado infle significativamente o custo de gas por pagamento para o pagador da taxa, reduzindo a margem operacional do patrocinador. Quando a biblioteca é configurada como pagadora de taxa, a função `cosign fee payer/3` assina novamente os campos base fornecidos pelo cliente do envelope 0x76 AASigned sem validar o comprimento ou o conteúdo da lista de acesso EIP-2930. As entradas da lista de acesso EIP-2930 incorrem em custos de gas intrínsecos, independentemente de os endereços serem utilizados. Um cliente mal-intencionado pode enviar uma chamada `transferWithMemo` com inúmeras entradas de lista de acesso fabricadas, fazendo com que a carteira do pagador da taxa pague um múltiplo elevado do custo de gas esperado. Isso pode levar ao esgotamento gradual da carteira do pagador da taxa. **Recommendations** Atualize o mpp para a versão 0.6.0 ou posterior. Como medida de mitigação temporária, defina a configuração `fee payer` como `false` para desativar o patrocínio de gas do lado do servidor.

**Nome do Software Vulnerável e Versões Afetadas** mpp versões 0.2.0 até 0.5.9 **Description** A validação inadequada de quantidades de entrada permite que um cliente remoto não autenticado esvazie a carteira do pagador de taxas em uma única requisição ao especificar um preço de gas arbitrariamente alto. Quando a biblioteca é configurada como pagadora de taxas, a função `cosign fee payer/3` assina novamente os campos base fornecidos pelo cliente do envelope 0x76 AASigned sem validar se `max fee per gas` e `max priority fee per gas` estão dentro de limites razoáveis. Um cliente mal-intencionado pode inserir valores excessivamente altos para essas variáveis, fazendo com que o servidor pague taxas de gas inflacionadas de sua própria carteira. Isso pode resultar no esgotamento total da carteira, impedindo que o servidor patrocine o gas para requisições legítimas. Este problema só é acessível quando o método `MPP.Methods.Tempo` é configurado com `fee payer: true`. **Recommendations** Atualize o mpp para a versão 0.6.0 ou posterior. Como mitigação temporária, defina a configuração `fee payer` como `false` para desativar o patrocínio de gas pelo servidor.