CVE-2026-77384
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w libp2p (JavaScript) przed wersją 4.2.9: ścieżka odświeżania rezerwacji w reservation-store.ts ponownie używa tego samego retimeableSignal, ale bezwarunkowo rejestruje kolejny listener przerwania przy każdym odświeżeniu. Zdalny peer może wielokrotnie wysyłać prawidłowe żądania RESERVE dla tej samej rezerwacji, powodując nieograniczony wzrost liczby listenerów i domknięć w serwerach przekaźnikowych @libp2p/circuit-relay-v2, co prowadzi do odmowy usługi.
Ocena ryzyka
Atakujący może spowodować przeciążenie serwerów przekaźnikowych, co prowadzi do niedostępności usług sieciowych.
Rekomendacja
Zaktualizuj libp2p do wersji 4.2.9 lub nowszej, która zawiera poprawkę.
Inne podatności w libp2p
Zobacz wszystkie- CVE-2026-49866Wysokie
Podatność w bibliotece libp2p (JavaScript) przed wersją 16.0.0 pozwalała na blokowanie pętli zdarzeń Node.js poprzez wysłanie specjalnie spreparowanych komunikatów IHAVE i IWANT. Brak ograniczeń w domyślnych limitach (maxIhaveMessageIDs i maxIwantMessageIDs ustawione na Infinity) umożliwiał iterację około 180 000 identyfikatorów wiadomości na ramkę 4 MB, co prowadziło do odmowy usługi (DoS).
- CVE-2026-45783Wysokie
Podatność w bibliotece libp2p (JavaScript) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie miejsca na dysku węzła @libp2p/kad-dht działającego w trybie serwera. Atak polega na wysyłaniu nieograniczonego strumienia wiadomości PUT_VALUE z kluczami omijającymi walidację treści.
Oryginalny opis (angielski, źródło NVD)
libp2p is a JavaScript implementation of the libp2p networking stack. Prior to version 4.2.9, the reservation refresh path in reservation-store.ts reuses the same retimeableSignal but unconditionally registers another abort listener on every refresh. As a result, a remote peer can repeatedly send valid RESERVE requests for the same reservation, causing unbounded listener and closure growth in @libp2p/circuit-relay-v2 relay servers and leading to denial of service. This issue is fixed in version 4.2.9.