PT-2026-34547 · Unknown · Nimiq-Blockchain

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-34066

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions nimiq-blockchain versões anteriores a 1.3.0

Description Na implementação Rust do Nimiq, a função HistoryStore::put historic txns utiliza a macro assert! para impor invariantes relativos ao block number de uma HistoricTransaction, exigindo que este esteja dentro da mesma época e do macro bloco que está sendo enviado. Durante uma sincronização de histórico, um peer pode fornecer uma lista de histórico malformada através da entrada history: &[HistoricTransaction] passada para Blockchain::push history sync, o que pode violar essas invariantes e causar um panic. Isso ocorre porque extend history sync chama this.history store.add to history(..) antes que a raiz do histórico computada seja comparada com o cabeçalho do macro bloco (block.history root()), permitindo que o panic aconteça antes que as verificações de rejeição sejam executadas.

Recommendations Atualizar para a versão 1.3.0.

Correção

RCE

Improper Check for Exceptional Conditions

Assertion Failure

Enumeração de Fraquezas

CWE-20

CWE-754

CWE-617

Identificadores relacionados

CVE-2026-34066

GHSA-J99G-7RQW-Q9JG

Produtos afetados

Nimiq-Blockchain

Referências · 8

• https://github.com/nimiq/core-rs-albatross · Nota
• https://github.com/nimiq/core-rs-albatross/commit/6f5511309c199d84b012fe6b9aba7e5582892c50 · Correção
• https://github.com/nimiq/core-rs-albatross/pull/3656 · Correção
• https://github.com/nimiq/core-rs-albatross/releases/tag/v1.3.0 · Nota
• https://github.com/nimiq/core-rs-albatross/security/advisories/GHSA-j99g-7rqw-q9jg · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j99g-7rqw-q9jg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34066 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047359955846463569 · Publicação no Twitter