CVE-2026-48100

Payy, gizliliği koruyan ve düzenlemelere uyumlu işlemler için bir Ethereum L2 zk-rollup çözümüdür. Versiyon 1.3.0 öncesinde, agg_agg iç kanıtlarından gelen sıkıştırılmış mesaj akışını genel bir messages: [Field; 1000] dizisine iletir ancak dış dizinin kullanılmayan kuyruk kısmının sıfır olduğunu hiçbir zaman kontrol etmez. Kayıtlı bir kanıtlayıcı (prover), onaylanmış bir rollup bloğu için geçerli bir agg_final kanıtı oluştururken gerçek mesajlardan sonra fazladan bir yakım (burn) mesajı ekleyebilir. Ardından RollupV1.verifyRollup(), bu genel girdiyi normal bir yakım işlemi olarak ayrıştırır ve USDC'yi rollup sözleşmesinden saldırgana transfer eder. Bu durum ciddi bir devre sağlamlık hatasıdır: Kanıt sistemi, mesajlar dizisi doğrulanmış iç kanıtlardan tamamen türetilmemiş olan genel bir ifadeyi kabul etmektedir. Mevcut dağıtımda verifyRollup(), mevcut izin listesindeki kanıtlayıcı ile sınırlandırılmıştır, bu nedenle yeni bir genel çağrıcı geçersiz kanıtı doğrudan gönderemez. Bu kısıtlama bugün L1'e kimlerin ulaşabileceğini sınırlar ancak devre ifadesini sağlam hale getirmez. Sorun, Payy teknik belgesinde açıklanan kanıtlayıcı modeli altında izinsiz erişilebilir hale gelmektedir. Bölüm 3.3.2 şunu belirtir: "Bir kanıtlayıcı olarak katılmak için, kanıtlayıcının küçük bir pay (stake) sunması gerekir" ve Bölüm 3.3.1, eğer bir kanıtlayıcı gönderim yapamazsa "diğer düğümler bunun yerine blok kanıtını gönderebilir" şeklinde belirtir. Bu modelde, bir saldırganın yalnızca kayıtlı bir kanıtlayıcı olması ve halihazırda onaylanmış bir blok için genel doğrulayıcı onay verilerini kullanması yeterlidir. Bu sorun versiyon 1.3.0 ile düzeltilmiştir.