PT-2026-42670 · Nimiq+1 · Core-Rs-Albatross+1
Publicado
2026-05-21
·
Atualizado
2026-06-10
·
CVE-2026-46542
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L |
Nome do Software Vulnerável e Versões Afetadas
Nimiq versões anteriores a 1.4.0
Descrição
Um problema de negação de serviço existe no caminho de delinearização multisig Ed25519. A função
Ed25519PublicKey::delinearize() em keys/src/multisig/mod.rs utiliza .unwrap() durante a descompressão do ponto da curva, causando um pânico quando uma chave pública é construída a partir de 32 bytes que não representam um ponto válido na curva Ed25519. Como a construção de Ed25519PublicKey valida apenas o comprimento dos bytes e não a associação à curva, chaves inválidas podem travar o processo de hospedagem. Um pânico secundário ocorre em Commitment::From<[u8; 32]> devido a uma falha semelhante na descompressão do ponto da curva. Isso afeta usuários de carteiras de navegador e desktop da biblioteca WASM do web-client e do crate nimiq-wallet ao iniciar uma operação multisig com uma chave pública fornecida por um invasor.Recomendações
Atualize para a versão 1.4.0.
Realize operações multisig apenas com chaves públicas recebidas de fontes confiáveis.
Correção
DoS
Assertion Failure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Core-Rs-Albatross
Nimiq-Keys