Podatności libp2p
3 znanych podatności CVE w libp2p, przetłumaczonych i ocenionych.
- CVE-2026-77384Wysokie
Podatność w libp2p (JavaScript) przed wersją 4.2.9: ścieżka odświeżania rezerwacji w reservation-store.ts ponownie używa tego samego retimeableSignal, ale bezwarunkowo rejestruje kolejny listener przerwania przy każdym odświeżeniu. Zdalny peer może wielokrotnie wysyłać prawidłowe żądania RESERVE dla tej samej rezerwacji, powodując nieograniczony wzrost liczby listenerów i domknięć w serwerach przekaźnikowych @libp2p/circuit-relay-v2, co prowadzi do odmowy usługi.
- CVE-2026-49866Wysokie
Podatność w bibliotece libp2p (JavaScript) przed wersją 16.0.0 pozwalała na blokowanie pętli zdarzeń Node.js poprzez wysłanie specjalnie spreparowanych komunikatów IHAVE i IWANT. Brak ograniczeń w domyślnych limitach (maxIhaveMessageIDs i maxIwantMessageIDs ustawione na Infinity) umożliwiał iterację około 180 000 identyfikatorów wiadomości na ramkę 4 MB, co prowadziło do odmowy usługi (DoS).
- CVE-2026-45783Wysokie
Podatność w bibliotece libp2p (JavaScript) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie miejsca na dysku węzła @libp2p/kad-dht działającego w trybie serwera. Atak polega na wysyłaniu nieograniczonego strumienia wiadomości PUT_VALUE z kluczami omijającymi walidację treści.