CVE-2026-86038

libp2p şəbəkə stekinin JavaScript tətbiqidir. 15.0.0 versiyasından 16.0.5 versiyasına qədər @libp2p/gossipsub packages/gossipsub/src/utils/buildRawMessage.ts faylında standart StrictSign siyasətindən istifadə edir; burada validateToRawMessage funksiyası imzanı hücumçunun nəzarətində olan msg.key ilə yoxlayır, lakin iddia edilən müəllif açıq açarı daxil etməmiş RSA peer ID olduqda həmin açarın msg.from ilə əlaqələndirilməsini ötürür. Autentifikasiya olunmamış hücumçu msg.from sahəsinə qurbanın RSA peer ID-sini yerləşdirə, mesajı öz gizli açarı ilə imzalaya və msg.key sahəsində öz açıq açarını təqdim edə bilər ki, bu da mesajın qurban tərəfindən yazılmış kimi qəbul edilməsinə və yayılmasına səbəb olar. Validatorlar, avtorizasiya, uçot, moderasiya, reputasiya və ya audit loqları üçün message.from sahəsinə etibar edən tətbiqlər, hücumçunun nəzarətində olan məlumatları yanlış mənşə təyinatı altında emal edə bilər. Problem 16.0.5 versiyasında düzəldilib.