CVE-2026-63628

mppx, makine ödemeleri protokolü için bir TypeScript arayüzüdür. 0.8.2 sürümünden önce, src/tempo/internal/fee-payer.ts dosyasındaki fee-payer ortak imzalama yolu, bir 0x78 FeePayerEnvelope içerisinden gelen istemci tarafından sağlanan access_list'i uzunluğunu veya içeriğini doğrulamadan kopyalıyordu. Listelenen adresler hiç kullanılmasa bile EIP-2930 access-list girişleri doğal gaz tükettiği için, bir istemci uydurma sadece-adres girişleri ekleyebilir ve sunucu fee_payer cüzdanının gereksiz işlem ücretleri ödemesine neden olabilirdi. Gösterilen 180 girişli liste; 500,000 gaz politikası sınırı, 16 KB başlık limiti ve RPC simülasyon bütçesi dahilinde kalırken ücreti yaklaşık 9,4 kat artırmıştır. Bu sorun 0.8.2 sürümünde düzeltilmiştir.