PT-2026-34554 · Unknown · Nimiq-Transaction

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-34067

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions nimiq-transaction versões anteriores a 1.3.0

Description A função HistoryTreeProof::verify() entra em pânico ao processar uma prova malformada onde history.len() não é igual a positions.len(), causada por uma verificação assert eq!. Como o objeto de prova é derivado de respostas p2p não confiáveis via ResponseTransactionsProof.proof, ele é controlado pelo invasor no limite da rede. Um peer malicioso pode causar a falha do sistema ao fornecer uma prova de inclusão manipulada com incompatibilidade de comprimento.

Recommendations Atualizar para a versão 1.3.0.

Correção

Assertion Failure

Enumeração de Fraquezas

CWE-617

Identificadores relacionados

CVE-2026-34067

GHSA-264V-M8FM-76JM

Produtos afetados

Nimiq-Transaction

Referências · 8

• https://github.com/nimiq/core-rs-albatross · Nota
• https://github.com/nimiq/core-rs-albatross/pull/3659 · Correção
• https://github.com/nimiq/core-rs-albatross/commit/6ff0800e8e031363e787c827d8d033e5694e4e6a · Correção
• https://github.com/nimiq/core-rs-albatross/security/advisories/GHSA-264v-m8fm-76jm · Aviso do Fabricante
• https://github.com/nimiq/core-rs-albatross/releases/tag/v1.3.0 · Nota
• https://osv.dev/vulnerability/GHSA-264v-m8fm-76jm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2047359954760163724 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34067 · Nota de Segurança