PT-2026-42669 · Git+2 · Core-Rs-Albatross+1

CVE-2026-46539 · Publicado 2026-05-21 · Atualizado 2026-06-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Nimiq versões anteriores a 1.4.0

Description Uma falha de lógica na função is block proven() dentro de BlockInclusionProof permite que a função retorne verdadeiro sem realizar a verificação criptográfica quando get interlink hops retorna uma lista de saltos vazia. Isso ocorre quando o bloco alvo está na posição do bloco de eleição imediatamente anterior à época do cabeçalho de eleição. Consequentemente, um invasor que forneça provas de inclusão de transação pode forjar um cabeçalho de MacroBlock para essa posição de época e fazer com que ele seja aceito como comprovado sem qualquer verificação de hash ou assinatura.

Recommendations Atualizar para a versão 1.4.0.

Exploit

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2026-46539

GHSA-799F-29JM-GR6C

Produtos afetados

Core-Rs-Albatross

Nimiq-Primitives

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/46xxx/CVE-2026-46539.json · Exploit
• https://github.com/nimiq/core-rs-albatross/security/advisories/GHSA-799f-29jm-gr6c · Nota
• https://github.com/nimiq/core-rs-albatross · Nota
• https://github.com/nimiq/core-rs-albatross/releases/tag/v1.4.0 · Nota
• https://github.com/nimiq/core-rs-albatross/pull/3705 · Nota
• https://github.com/nimiq/core-rs-albatross/commit/cc5a1d54bbbffd1ea975bd2ee87d5f7b3b30bbf1 · Nota
• https://osv.dev/vulnerability/GHSA-799f-29jm-gr6c · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-46539 · Nota de Segurança
• https://t.me/CVEtracker/56384 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-46539 · Aviso do Fabricante