CVE-2026-87119

ZenHive mpp bileşenindeki yakala-yeniden oynat (capture-replay) yöntemiyle gerçekleştirilen kimlik doğrulama atlatma hatası, ele geçirilmiş bir abonelik aktivasyon kimlik bilgisine sahip olan bir saldırganın, ödeyiciye tekrar tekrar ücret yansıtmasına olanak tanır. Ödeyici; Tempo KeyAuthorization imzasını yalnızca zincir kimliği (chain id), anahtar türü, anahtar kimliği, son kullanma tarihi, limitler ve kapsamlar üzerinden imzalar ve bu işlemi tetikleyen meydan okumaya (challenge) bağlayan herhangi bir unsur bulunmaz. lib/mpp/methods/tempo/key_authorization.ex dosyasındaki MPP.Methods.Tempo.KeyAuthorization.verify/3 fonksiyonu, imzalanmış bu alanların her birini abonelik isteğiyle eşleştirir ve eşleştirdiği erişim anahtarı uç nokta başına statik bir sunucu anahtarıdır; bu nedenle tek bir imzalı yetkilendirme, sunucunun aynı abonelik koşulları için oluşturduğu her meydan okuma karşısında doğrulanır. MPP.Methods.Tempo.Subscription.activate/4 fonksiyonu, aktivasyonları meydan okuma kimliğine göre tekilleştirdiğinden, yakalanan kimlik bilgisinin yeni bir meydan okuma altında sunulması farklı bir tekilleştirme anahtarı üretir, claim_activation başarılı olur ve abonelik işlemi yeniden oluşturularak yayınlanır. Her yeniden oynatma işlemi, ödeyicinin cüzdanından yeni bir ilk dönem yerleşim ücreti tahsil eder ve sunucu anahtarını yeniden yetkilendirir; bu işlem yalnızca abonelik son kullanma tarihi ve zincirin mevcut bir anahtarı yeniden yükleme konusundaki kendi semantiği ile sınırlıdır. Bu sorun mpp: 0.14.0 sürümünden 0.16.2 öncesine kadar olan sürümleri etkilemektedir.