CVE-2026-86840
NieznaneStreszczenie
Palety `vtoken-minting` i `slpx` w Bifrost zawierają podatność na nieprawidłową autoryzację w przypisywaniu prowizji kanałowych. Podpisane konto może podać dowolny zarejestrowany `channel_id` podczas mintowania tokenów bez weryfikacji, czy wywołujący jest uprawniony do mintowania w imieniu tego kanału. Umożliwia to atakującemu zawyżenie zarejestrowanego wolumenu mintowania kanału i spowodowanie nieproporcjonalnego rozdzielenia płatności prowizyjnych na rzecz tego kanału podczas rozliczania prowizji.
Ocena ryzyka
Ryzyko obejmuje manipulację rozliczeniami prowizyjnymi, co może prowadzić do strat finansowych dla protokołu i nieuczciwego wzbogacenia atakującego kosztem innych uczestników.
Rekomendacja
Zaleca się natychmiastową aktualizację Bifrost do wersji zawierającej poprawkę oraz wdrożenie odpowiednich kontroli autoryzacji w paletach `vtoken-minting` i `slpx`.
Inne podatności w Bifrost
Zobacz wszystkie- CVE-2026-86242Wysokie
Bifrost HTTP transport przed wersją 2.0.0 akceptuje włączony niestandardowy plugin, którego ścieżka jest URL HTTP, przez nieuwierzytelnione POST /api/plugins, gdy uwierzytelnianie zarządzania jest wyłączone (domyślnie). Ładowarka obiektów współdzielonych traktuje ścieżkę z prefiksem http jako URL do pobrania, zapisuje ciało do tymczasowego pliku .so i przekazuje do plugin.Open. Po pomyślnym otwarciu opcjonalny Init uruchamia się z dostarczoną konfiguracją jako użytkownik procesu Bifrost. Na dynamicznie linkowanych buildach jest to zdalne wykonanie kodu; na statycznie linkowanym obrazie Docker tylko SSRF.
- CVE-2026-55245Wysokie
Bifrost przed wersją 1.5.17 błędnie klasyfikuje adresy z zakresów CGNAT, 6to4, NAT64 i fec0::/10 jako publiczne. Atakujący kontrolujący adres URL multimodalnego żądania może sprawić, że brama pobierze zasoby z wewnętrznych usług, w tym metadane instancji chmury.
Oryginalny opis (angielski, źródło NVD)
The `vtoken-minting` and `slpx` pallets in Bifrost contain an improper authorization vulnerability in channel commission attribution. A signed account can supply an arbitrary registered `channel_id` when minting tokens without verifying that the caller is authorized to mint on behalf of that channel. This allows an attacker to inflate a channel's recorded mint volume and cause protocol commission payments to be disproportionately distributed to that channel during commission settlement.