ElectrumのNWCプラグインで送金上限を超える脆弱性、修正版あり
Summary
ElectrumのNostr Wallet Connectプラグインで、1日あたりの支払い上限を超えて資金が引き出される脆弱性が見つかりました。4.7.2未満でこのプラグインを使い、外部アプリにウォレットの支払いを任せている組織や個人が対象です。4.7.2に更新し、更新できるまではプラグインを止めて接続先を見直してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ElectrumのNostr Wallet Connectプラグインで、1日あたりの支払い上限を超えて資金が引き出される脆弱性が見つかりました。4.7.2未満でこのプラグインを使い、外部アプリにウォレットの支払いを任せている組織や個人が対象です。4.7.2に更新し、更新できるまではプラグインを止めて接続先を見直してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| spesmilo | electrum |
< 4.7.2 |
4.7.2 |
Original description The description as published by the source.
Electrum before 4.7.2 contains a spending limit bypass vulnerability in the Nostr Wallet Connect plugin that allows malicious NWC clients to exceed daily_limit_sat by exploiting non-atomic budget checks and millisatoshi truncation. Attackers can send concurrent pay_invoice requests that pass budget_allows_spend() before add_to_budget() runs, or repeatedly pay msat amounts that are floored to whole satoshis, to drain funds beyond the limit.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory