CVE-2026-73541

ZenHive mpp-də Resursların Limitlərsiz və ya Tənzimləməsiz Ayırılması (Allocation of Resources Without Limits or Throttling), autentifikasiya olunmamış uzaq müştərinin eyni vaxtda həyata keçirilən sponsorlu ödənişlər vasitəsilə ödənişi edən tərəfin pul kisəsini boşaltmasına imkan verir ki, bu da kifayət qədər vəsait qalmadıqda legitim ödəyicilər üçün xidmətdən imtinaya səbəb olur. MPP.Methods.Tempo.FeePayerPolicy öz limitlərini (max_gas, max_fee_per_gas, max_priority_fee_per_gas, ən pis halda gas_limit * max_fee_per_gas <= max_total_fee büdcə limiti və etibarlılıq pəncərəsi) hər dəfə yalnız bir tranzaksiya üçün tətbiq edir və eyni vaxtda gələn sorğular arasındakı risk nəzərə alınmır. reserve_hash_atomic/2 funksiyası tranzaksiya heşi (hash) əsasında işlədiyi üçün eyni imzalanmış tranzaksiyanın dublikat şəkildə yayılmasının qarşısını alır, lakin fərqli vaxtda bitən nonce-lara malik N sayda fərqli sponsorlu tranzaksiyanın qarşısını almır. Buna görə də, öhdəliyin altına götürülmüş sponsor riski kitabxanada heç bir məhdudiyyətlə bağlanmadığı üçün max_total_fee-nin N dəfəyidir və standart 900 saniyəlik etibarlılıq pəncərəsi ortaq imzalı tranzaksiyaların bütün bu müddət ərzində yayıla bilən və hesablanmayan vəziyyətdə qalmasına şərait yaradır. Bu problem mpp-nin 0.2.0 versiyasından 0.12.0 versiyasına qədər olan hissəsinə təsir edir.