CVE-2025-69287

BSV Blockchain SDK, BSV Blockchain üzərində miqyaslana bilən tətbiqlərin hazırlanması üçün vahid TypeScript SDK-dır. Versiya 2.0.0-dan əvvəl, TypeScript SDK-nın BRC-104 autentifikasiya tətbiqindəki kriptoqrafik zəiflik imza məlumatlarının yanlış hazırlanmasına səbəb olmuşdur ki, bu da SDK tətbiqləri arasında imzaların uyğunsuzluğu ilə nəticələnmiş və potensial autentifikasiyadan yan keçmə ssenariləri yaratmışdır. Zəiflik TypeScript SDK-nın `Peer.ts` faylında, xüsusilə BRC-104 qarşılıqlı autentifikasiyası üçün imza məlumatlarının hazırlandığı `processInitialRequest` və `processInitialResponse` metodlarında yerləşirdi. TypeScript SDK, base64 formatında kodlaşdırılmış nonce sətirlərini birləşdirərək (`message.initialNonce + sessionNonce`), daha sonra birləşdirilmiş base64 sətirini dekodlaşdırmaqla (`base64ToBytes(concatenatedString)`) imza məlumatlarını yanlış hazırlayırdı. Bu, düzgün olan 64 bayt əvəzinə təxminən 32-34 bayt imza məlumatı istehsal edirdi. BRC-104 autentifikasiyası peer-lər arasında qarşılıqlı etibarın qurulması üçün kriptoqrafik imzalardan istifadə edir. İmza məlumatlarının hazırlanması yanlış olduqda, TypeScript SDK tərəfindən yaradılan imzalar Go/Python SDK-ları tərəfindən gözlənilənlərlə üst-üstə düşmür; müxtəlif tətbiqlər arası autentifikasiya uğursuz olur və hücumçu bundan autentifikasiya yoxlamalarını yan keçmək üçün istifadə edə bilərdi. Versiya 2.0.0-dakı düzəliş bütün SDK-ların artıq eyni kriptoqrafik imzaları istehsal etməsini təmin edərək, tətbiqlər arasında düzgün qarşılıqlı autentifikasiyanı bərpa edir.