CVE-2026-40092Nimiq区块链Rust实现1.3.0及以下版本存在安全漏洞。由于Ed25519签名验证逻辑中存在缺陷,恶意网络节点可发送精心构造的Kademlia DHT记录,导致受害者节点在处理验证时触发panic(崩溃),从而造成拒绝服务。
该漏洞位于Nimiq核心Rust代码的DHT验证机制中。当处理恶意构造的TaggedSigned<ValidatorRecord, KeyPair>记录时,若Ed25519签名字段长度非64字节,ed25519_zebra库的try_from会拒绝该签名。然而,调用方使用了.unwrap()方法捕获Result,导致程序直接panic而非像BLS实现那样返回布尔值错误。这使得攻击者无需身份认证,仅需网络连接即可通过发送畸形数据包使任何全节点崩溃。