CVE-2026-86039

libp2p şəbəkə stekinin JavaScript tətbiqidir. 8.0.0 versiyasından 12.0.24 versiyasına qədər olan dövrdə, packages/peer-store/src/index.ts faylındakı @libp2p/peer-store modulu RecordEnvelope imzasını yoxlamaq üçün consumePeerRecord funksiyasından istifadə edir, lakin imzalanmış yükdəki (payload) PeerRecord.peerId-nin RecordEnvelope.openAndCertify tərəfindən əldə edilən imzalayan peer ID ilə eyni olmasını tələb etmir. expectedPeer seçimi yalnız zərf imzalayanı yoxlayır və gossipsub Peer Exchange yolu hücumçunun öz peer ID-sini expectedPeer kimi təqdim edə bilər. Buna görə də, hücumçu bir yazını öz açarı ilə imzalaya, yükləyiciyə qurbanın peer ID-sini və hücumçunun nəzarətində olan multiaddr-ləri yerləşdirə və qurban üçün təsdiqlənmiş ünvanların saxlanılmasını təmin edə bilər. Zəhərlənmiş ünvanlar ünvan kitabçasının korlanmasına, zəng yönləndirməsinin dəyişdirilməsinə və ya uğursuzluğuna, marşrutlaşdırmanın manipulyasiyasına və əlçatanlığın pozulmasına səbəb ola bilər, baxmayaraq ki, bağlantının təkmilləşdirilməsi hələ də uzaq peer kimliyini yoxlayır və tam kimlik ələ keçirmənin qarşısını alır. Problem 12.0.24 versiyasında düzəldilmişdir.