CVE-2026-117603
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Electrum przed wersją 4.7.2 zawiera podatność obejścia limitu wydatków w pluginie Nostr Wallet Connect. Złośliwe klienty NWC mogą przekroczyć daily_limit_sat poprzez nieatomowe sprawdzanie budżetu i obcinanie milisatoshi.
Ocena ryzyka
Atakujący mogą wysyłać równoległe żądania płatności lub wielokrotnie płacić kwoty msat, aby wyprowadzić środki ponad limit.
Rekomendacja
Zaktualizuj Electrum do wersji 4.7.2 lub nowszej.
Inne podatności w Electrum
Zobacz wszystkie- CVE-2026-117602Wysokie
Electrum w wersjach 4.6.0 przed 4.7.2 zawiera obejście autoryzacji w loaderze zewnętrznych wtyczek, który wykonuje moduł __init__.py wtyczki oznaczonej jako włączona w pliku konfiguracyjnym, bez weryfikacji podpisu plugin-password. Złośliwy proces lokalny z prawem zapisu do katalogu danych Electrum może umieścić kod wtyczki w folderze plugins/ i oznaczyć go jako włączony, powodując wykonanie dowolnego kodu w procesie Electrum.
- CVE-2026-117601Wysokie
Electrum w wersjach przed 4.8.3 nie weryfikuje podpisów danych wejściowych należących do portfela w niepotwierdzonych transakcjach w mempoolu, co pozwala złośliwym serwerom zastąpić właśnie rozgłoszoną transakcję konfliktową. Atakujący mogą przechwycić transakcję użytkownika i wyświetlić nieprawidłową kopię z zerową opłatą płacącą na adres atakującego, nakłaniając użytkownika do podniesienia opłaty RBF i podpisania jej.
Oryginalny opis (angielski, źródło NVD)
Electrum before 4.7.2 contains a spending limit bypass vulnerability in the Nostr Wallet Connect plugin that allows malicious NWC clients to exceed daily_limit_sat by exploiting non-atomic budget checks and millisatoshi truncation. Attackers can send concurrent pay_invoice requests that pass budget_allows_spend() before add_to_budget() runs, or repeatedly pay msat amounts that are floored to whole satoshis, to drain funds beyond the limit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS