CVE-2026-45783
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece libp2p (JavaScript) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie miejsca na dysku węzła @libp2p/kad-dht działającego w trybie serwera. Atak polega na wysyłaniu nieograniczonego strumienia wiadomości PUT_VALUE z kluczami omijającymi walidację treści.
Ocena ryzyka
Wyczerpanie miejsca na dysku prowadzi do niedostępności węzła, co może zakłócić działanie całej sieci P2P i spowodować utratę danych.
Rekomendacja
Zaktualizuj @libp2p/kad-dht do wersji 16.2.6 lub nowszej, która zawiera poprawkę.
Inne podatności w libp2p
Zobacz wszystkie- CVE-2026-77384Wysokie
Podatność w libp2p (JavaScript) przed wersją 4.2.9: ścieżka odświeżania rezerwacji w reservation-store.ts ponownie używa tego samego retimeableSignal, ale bezwarunkowo rejestruje kolejny listener przerwania przy każdym odświeżeniu. Zdalny peer może wielokrotnie wysyłać prawidłowe żądania RESERVE dla tej samej rezerwacji, powodując nieograniczony wzrost liczby listenerów i domknięć w serwerach przekaźnikowych @libp2p/circuit-relay-v2, co prowadzi do odmowy usługi.
- CVE-2026-49866Wysokie
Podatność w bibliotece libp2p (JavaScript) przed wersją 16.0.0 pozwalała na blokowanie pętli zdarzeń Node.js poprzez wysłanie specjalnie spreparowanych komunikatów IHAVE i IWANT. Brak ograniczeń w domyślnych limitach (maxIhaveMessageIDs i maxIwantMessageIDs ustawione na Infinity) umożliwiał iterację około 180 000 identyfikatorów wiadomości na ramkę 4 MB, co prowadziło do odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
libp2p is a JavaScript Implementation of libp2p networking stack. Prior to version 16.2.6, an unauthenticated remote peer can exhaust the disk storage of any @libp2p/kad-dht node running in server mode by sending an unbounded stream of PUT_VALUE messages whose keys bypass all content validation. No credentials, no prior relationship, and no protocol deviation beyond a crafted key are required. The victim node's datastore fills until the host disk is exhausted, making the node unavailable. This issue has been patched in version 16.2.6.