Ultradag · Ultradag · CVE-2026-42278
**Nome do Software Vulnerável e Versões Afetadas**
UltraDAG versões anteriores ao commit fb6ef59
**Descrição**
A implementação do StateEngine para SmartTransferTx contém uma falha de lógica em seu pipeline de aplicação de políticas. Quando uma transação se origina de um "Pocket" (um subendereço derivado usado para organizar fundos), o mecanismo falha ao resolver a conta pai do pocket antes de verificar a política de gastos. Como os pockets são endereços virtuais que existem apenas no mapa `pocket to parent` e não possuem suas próprias entradas `SmartAccountConfig`, a função `check spending policy()` retorna um resultado autorizado por padrão. Isso permite que um invasor com a chave pai ignore restrições de gastos, como atrasos de cofre ou limites diários, e esvazie todos os pockets associados a uma conta.
**Recomendações**
Atualize para a versão que contém o commit fb6ef59.