تجاوز حد الإنفاق اليومي للإضافة Nostr Wallet Connect في Electrum قبل الإصدار 4.7.2

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي الإصدار ما قبل 4.7.2 من Electrum على ثغرة تجاوز حد الإنفاق في الإضافة Nostr Wallet Connect والتي تسمح لعملاء NWC الخبيثين بتجاوز daily_limit_sat عبر استغلال عمليات التحقق من الميزانية غير الذرية واقتطاع الميلي ساتوشي. يمكن للمهاجمين إرسال طلبات pay_invoice متزامنة تجتاز الدالة budget_allows_spend() قبل تشغيل الدالة add_to_budget()، أو الدفع بشكل متكرر بمبالغ msat التي تتم تسويتها إلى ساتوشي كاملة، لاستنزاف الأموال بما يتجاوز الحد.

المعالجة

1. أحصِ جميع نشرات spesmilo electrum، بما فيها بيئات الاختبار.
2. رقِّ spesmilo electrum إلى الإصدار 4.7.2.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/spesmilo/electrum/commit/5222374046d2a92da371d46c79ce0e61e7e2a42d
• تصحيحhttps://github.com/spesmilo/electrum/commit/3956bff0684f6060fbe8c823c3ee921928cdcaa5
• تحذيرhttps://github.com/spesmilo/electrum/security/advisories/GHSA-q7m2-785w-r585
• تحذيرhttps://www.vulncheck.com/advisories/electrum-before-4.7.2-nostr-wallet-connect-plugin-daily-spending-limit-bypass