CVE-2026-42278
Açıklama
UltraDAG, Rust ile yazılmış minimal bir DAG-BFT blokzinciridir. fb6ef59 commit'inden önce, UltraDAG StateEngine'in SmartTransferTx uygulaması, politika uygulama hattında kritik bir mantık hatası içermektedir. Bir işlem, bir "Pocket"tan (protokolde fonları düzenlemenin bir yolu olarak belgelenen türetilmiş bir alt adres) geldiğinde, motor harcama politikasını kontrol etmeden önce pocket'ın üst hesabını çözümleyememektedir. Pocket'lar yalnızca pocket_to_parent eşlemesinde girişler olarak var olan ve kendi SmartAccountConfig girişleri bulunmayan "sanal" adresler olduğundan, check_spending_policy yöntemi varsayılan olarak "yetkili/politika yok" sonucunu döndürmektedir. Bu durum, üst hesapta katı bir 24 saatlik kasa gecikmesi veya günlük 1 UDAG limiti olsa bile, herhangi bir kullanıcının (veya üst anahtara sahip bir saldırganın) bir hesaptaki tüm pocket'ları anında boşaltmasına olanak tanır. Bu sorun fb6ef59 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| UltraDAGcom core | < fb6ef59d6c1385400e7acea7ae31fc6a473c3051 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.