PT-2025-21362 · Unknown · Modular Account De Alchemy
Zer0Dot
·
Publicado
2025-05-15
·
Atualizado
2025-05-15
·
CVE-2025-46834
CVSS v4.0
6.6
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U |
Nome do Software Vulnerável e Versões Afetadas:
Modular Account da Alchemy versões anteriores ao commit 5e6f540d249afcaeaf76ab95517d0359fde883b0
Descrição:
O problema refere-se a um bug no módulo de allowlist do Modular Account da Alchemy, que é compatível com ERC-4337 e ERC-6900. Este bug permite que chaves de sessão contornem restrições de controle de acesso, possibilitando-lhes acessar contratos externos, incluindo contratos de tokens ERC20 e ERC721. Como resultado, as chaves de sessão podem transferir todos os tokens da conta, configurar permissões em módulos externos, remover restrições e rotacionar chaves com privilégios mais altos para chaves sob seu controle.
Recomendações:
Para versões anteriores ao commit 5e6f540d249afcaeaf76ab95517d0359fde883b0, atualize para uma versão que inclua a correção fornecida no commit 5e6f540d249afcaeaf76ab95517d0359fde883b0 para resolver o problema. Como medida paliativa temporária, considere restringir o acesso ao caminho
executeUserOp e suas respectivas funções subsequentes execute ou executeBatch para impedir que as chaves de sessão contornem as restrições de controle de acesso.Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Modular Account De Alchemy