Më 28 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-6jp4-8v48-cc5v (CVE-2026-117601) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën electrum të ekosistemit PyPI.
Paketat e prekura
- electrum (PyPI) — versionet e prekura:
< 4.8.3; versioni me rregullim:4.8.3
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-347 (Improper Verification of Cryptographic Signature)
- Identifikuesit: GHSA-6jp4-8v48-cc5v, CVE-2026-117601
Përmbledhja zyrtare
Electrum: Një server keqdashës mund të zëvendësojë një transaksion të sapotransmetuar dhe të përpiqet ta mashtrojë përdoruesin që ta zëvendësojë përmes RBF
Serveri kryesor Electrum me të cilin lidhet klienti konsiderohet i besueshëm për transaksionet në mempool, pra ato ende të pakonfirmuara. Kjo është një zgjedhje e dokumentuar e projektimit të sistemit. [0] Megjithatë, është identifikuar një mënyrë për ta shfrytëzuar praktikisht këtë besim.
Kur klienti transmeton një transaksion të ri, tx1, një server keqdashës mund ta ndalojë përcjelljen e tij. Më pas, serveri mund të përditësojë historikun e klientit me një transaksion konfliktual dhe të pavlefshëm, tx2, ku adresat marrëse zëvendësohen me adresën e sulmuesit.
Transaksioni tx2 ka nënshkrime të pavlefshme, por klienti nuk i kontrollon ato për shkak të mënyrës si është projektuar si klient i lehtë. Kjo i jep serverit keqdashës mundësinë të përpiqet ta mashtrojë përdoruesin që ta zëvendësojë transaksionin përmes RBF.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin electrum, përditësojeni sa më shpejt në versionin 4.8.3 ose më të ri.
