CVE-2026-62300

Filecoin Pin to implementacja API usługi przypinania IPFS, która przypina się do usługi PDP firmy Filecoin. W przypadku wdrożeń demonów do wersji 1.1.0 włącznie, polecenie „POST /pins” w pliku „src/filecoin-pinning-server.ts” sprawdza identyfikator CID dostarczony przez rozmówcę za pomocą pliku „CID.parse” i przekazuje go do pliku „pinStore.pin”, ale nie wymusza limitów szybkości żądań ani przydziałów na użytkownika. W `src/filecoin-pin-store.ts` każdy pin niezależnie planuje `_processPinInBackground` z `setTimeout` bez kolejki, semafora lub ograniczenia współbieżności, a następnie rekurencyjnie przechodzi przez cały DAG przy użyciu `helia.pins.add(cid)`. Węzeł Helia/Bitswap na pin w `src/create-pinning-helia.ts` nie ma limitów bajtów, bloków ani czasu przejścia na poziomie aplikacji. Bloki są zapisywane w `carStoragePath` przez `src/core/car/car-blockstore-base.ts` i `src/core/car/car-file-backend.ts`, przy czym `stats.totalSize` jest aktualizowane dopiero po zapisaniu. Uwierzytelniony wywołujący lub anonimowy wywołujący, gdy `ALLOW_NO_AUTH=true`, może przesłać duże pliki DAG i wyczerpać zasoby dysku, sieci, procesora, pamięci i libp2p, powodując pogorszenie jakości usług lub awarię hosta/procesu i pozostawiając częściowe pliki CAR wymagające odzyskania. Domyślne powiązanie hosta lokalnego i wymagania dotyczące tokenu zmniejszają ryzyko. Ponieważ węzły nie mają konfiguracji bootstrap ani mDNS, sam identyfikator CID może nie być możliwy do pobrania, ale „Origins” dostarczone przez rozmówcę mogą wskazywać osiągalne źródło libp2p kontrolowane przez atakującego; równoczesne żądania przyspieszają wykorzystanie zasobów. Wersja 1.1.1 dokumentuje ograniczenia operacyjne, ale nie implementuje kontroli brakujących zasobów.