CVE-2026-117601
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Electrum w wersjach przed 4.8.3 nie weryfikuje podpisów danych wejściowych należących do portfela w niepotwierdzonych transakcjach w mempoolu, co pozwala złośliwym serwerom zastąpić właśnie rozgłoszoną transakcję konfliktową. Atakujący mogą przechwycić transakcję użytkownika i wyświetlić nieprawidłową kopię z zerową opłatą płacącą na adres atakującego, nakłaniając użytkownika do podniesienia opłaty RBF i podpisania jej.
Ocena ryzyka
Użytkownik może zostać oszukany i podpisać transakcję płacącą atakującemu, tracąc środki. Ryzyko dotyczy użytkowników korzystających z niezaufanych lub złośliwych serwerów Electrum.
Rekomendacja
Zaktualizuj Electrum do wersji 4.8.3 lub nowszej. Korzystaj wyłącznie z zaufanych serwerów Electrum i weryfikuj szczegóły transakcji przed podpisaniem.
Inne podatności w Electrum
Zobacz wszystkie- CVE-2026-117603Średnie
Electrum przed wersją 4.7.2 zawiera podatność obejścia limitu wydatków w pluginie Nostr Wallet Connect. Złośliwe klienty NWC mogą przekroczyć daily_limit_sat poprzez nieatomowe sprawdzanie budżetu i obcinanie milisatoshi.
- CVE-2026-117602Wysokie
Electrum w wersjach 4.6.0 przed 4.7.2 zawiera obejście autoryzacji w loaderze zewnętrznych wtyczek, który wykonuje moduł __init__.py wtyczki oznaczonej jako włączona w pliku konfiguracyjnym, bez weryfikacji podpisu plugin-password. Złośliwy proces lokalny z prawem zapisu do katalogu danych Electrum może umieścić kod wtyczki w folderze plugins/ i oznaczyć go jako włączony, powodując wykonanie dowolnego kodu w procesie Electrum.
Oryginalny opis (angielski, źródło NVD)
Electrum before 4.8.3 fails to verify signatures of wallet-owned inputs in unconfirmed mempool transactions, allowing malicious servers to replace a just-broadcast transaction with a conflicting one. Attackers can swallow the user's transaction and display an invalid zero-fee copy paying an attacker address, tricking users into RBF fee-bumping and signing it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS