CVE-2026-46679

libp2p to implementacja stosu sieciowego libp2p w JavaScript. Od wersji 15.0.0 do 16.0.5 @libp2p/gossipsub używa domyślnej polityki StrictSign w packages/gossipsub/src/utils/buildRawMessage.ts, gdzie validateToRawMessage weryfikuje podpis za pomocą kontrolowanego przez atakującego msg.key, ale pomija powiązanie tego klucza z msg.from, gdy deklarowanym autorem jest identyfikator peera RSA, który nie zawiera wbudowanego klucza publicznego. Nieuwierzytelniony atakujący może umieścić identyfikator peera ofiary RSA w msg.from, podpisać wiadomość swoim kluczem prywatnym i dostarczyć swój klucz publiczny w msg.key, powodując akceptację i propagację wiadomości jako autorstwa ofiary. Aplikacje, które ufają msg.from w walidatorach, autoryzacji, rozliczeniach, moderacji, reputacji lub logowaniu audytowym, mogą przetwarzać dane kontrolowane przez atakującego pod fałszywą atrybucją pochodzenia. Problem został naprawiony w wersji 16.0.5.