CVE-2026-86038

libp2p, libp2p ağ yığınının bir JavaScript uygulamasıdır. 15.0.0 ile 16.0.5 sürümleri arasında @libp2p/gossipsub, packages/gossipsub/src/utils/buildRawMessage.ts dosyasında varsayılan StrictSign politikasını kullanır; burada validateToRawMessage fonksiyonu, saldırgan tarafından kontrol edilen msg.key ile bir imzayı doğrular ancak iddia edilen yazar, genel anahtarı satır içi olarak içermeyen bir RSA peer ID olduğunda bu anahtarın msg.from ile bağlanmasını atlar. Kimliği doğrulanmamış bir saldırgan, msg.from kısmına kurbanın RSA peer ID'sini yerleştirebilir, mesajı kendi özel anahtarıyla imzalayabilir ve msg.key kısmında kendi genel anahtarını sunarak mesajın kurban tarafından yazılmış gibi kabul edilmesini ve yayılmasını sağlayabilir. Doğrulayıcılar, yetkilendirme, muhasebe, moderasyon, itibar veya denetim günlüğü için message.from alanına güvenen uygulamalar, yanlış kaynak ataması altında saldırgan tarafından kontrol edilen verileri işleyebilir. Sorun 16.0.5 sürümünde düzeltilmiştir.