Veille sécuritéBackend & données
P4Moyenne
Dans pympp, lorsqu’un serveur agit comme fee_payer, la validation tolère des octets supplémentaires après les données calldata et la politique ne vérifie pas leur longueur. Un demandeur peut ainsi gonfler le coût de la transaction cosignée et diffusée, au risque d’épuiser le portefeuille fee-payer; corriger en passant à pympp 0.9.1 ou ultérieur.
Python
IdentifiantCVE-2026-63634
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.9.1
Source : NVD — CVE-2026-63634
Analyse technique
Le décodage eth_abi tolère les octets finaux; sur Tempo, des octets non nuls ajoutés entraînent un coût de gaz supplémentaire.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09T22:18:53.803Z, soit le 2026-11-10 à 00:18:53.803+02:00, dans la période retenue.
ImpactUn serveur fee-payer peut voir son portefeuille débité de frais de gaz excessifs.
Versions affectéesVersions antérieures à 0.9.1
Version corrigée0.9.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,29% · percentile 21,9%
Publication2026-11-09T22:18:53.803Z
Mise à jour2026-11-09T22:18:53.803Z
Action recommandée
Mettre à niveau pympp vers la version 0.9.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).