CVE-2026-48100

Payy to pakiet zk-rollup Ethereum L2 umożliwiający ochronę prywatności i transakcje zgodne z przepisami. Przed wersją 1.3.0 agg_agg przekazuje skompresowany strumień komunikatów ze swoich wewnętrznych dowodów do komunikatów publicznych: [Pole; 1000], ale nigdy nie sprawdza, czy nieużywany koniec tablicy zewnętrznej wynosi zero. Zarejestrowany dowódca może zbudować ważny dowód agg_final dla zatwierdzonego bloku podsumowującego, wstawiając dodatkową wiadomość o wypaleniu po prawdziwych wiadomościach. Następnie RollupV1.verifyRollup() analizuje te publiczne dane wejściowe jako normalne spalanie i przekazuje atakującemu USDC z kontraktu zbiorczego. Jest to poważna awaria poprawności obwodu: system sprawdzający akceptuje publiczne oświadczenie, którego tablica komunikatów nie jest w pełni wyprowadzona ze zweryfikowanych dowodów wewnętrznych. W bieżącym wdrożeniu funkcja VerRollup() jest ograniczona do istniejącego dowodu znajdującego się na liście dozwolonych, więc nowy obiekt wywołujący publiczny nie może bezpośrednio przesłać nieprawidłowego dowodu. Ta bramka ogranicza liczbę osób, które mogą dzisiaj osiągnąć L1; nie powoduje to, że instrukcja obwodu brzmi. Problem staje się bez pozwolenia w ramach modelu dowodowego opisanego w białej księdze Payy. Sekcja 3.3.2 stwierdza: „Aby dołączyć jako dowód, osoba udowadniająca musi przesłać niewielką stawkę”, a sekcja 3.3.1 stwierdza, że ​​jeśli osoba udowadniająca nie prześle, „inne węzły mogą zamiast tego przesłać dowód blokowy”. W tym modelu atakujący musi jedynie zostać zarejestrowanym narzędziem dowodzącym i skorzystać z danych zatwierdzających publicznego walidatora dla już zatwierdzonego bloku. Ten problem został naprawiony w wersji 1.3.0.