p PatchFirst

CVE-2026-117603

CVE-2026-117603 · Electrum before 4.7.2 Nostr Wallet Connect Plugin Daily Spending Limit Bypass

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Electrum before 4.7.2 contains a spending limit bypass vulnerability in the Nostr Wallet Connect plugin that allows malicious NWC clients to exceed daily_limit_sat by exploiting non-atomic budget checks and millisatoshi truncation. Attackers can send concurrent pay_invoice requests that pass budget_allows_spend() before add_to_budget() runs, or repeatedly pay msat amounts that are floored to whole satoshis, to drain funds beyond the limit.

CVSS 9.3 · Kritisch · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • electrum

    Softwareversionen
    • ≥ 0, < 4.7.2: Betroffen (semver)
    • 4.7.2: Nicht betroffen (semver)

    Auf 4.7.2 aktualisieren

  • electrum Debian:12

    Softwareversionen
    • 4.3.4+dfsg1-1
    • 4.3.4+dfsg1-1+deb12u1
    • 4.4.5+dfsg1-1
    • 4.4.5+dfsg1-1~bpo12+1
    • 4.4.5+dfsg1-2
    • 4.4.5+dfsg1-3
    • 4.4.5+dfsg1-3~bpo12+1
    • 4.4.6+dfsg-1
    • 4.4.6+dfsg-1~bpo12+1
    • 4.4.6+dfsg2-1
    • 4.4.6+dfsg2-1~bpo12+1
    • 4.5.2+dfsg-1
    • 4.5.2+dfsg-2
    • 4.5.2+dfsg-2~bpo12+1
    • 4.5.4+dfsg-1
    • 4.5.4+dfsg-1~bpo12+1
    • 4.5.4+dfsg-2
    • 4.5.4+dfsg-3
    • 4.5.4+dfsg-3~bpo12+1
    • 4.5.5+dfsg-1
    • 4.5.5+dfsg-1~bpo12+1
    • 4.5.5+dfsg-2
    • 4.5.5+dfsg-3
    • 4.5.5+dfsg-4
    • 4.5.5+dfsg-4~bpo12+1
    • 4.5.8+ds-1
    • 4.5.8+ds-1~bpo12+1
    • 4.5.8+ds-2
    • 4.5.8+ds-3
    • 4.5.8+ds-3~bpo12+1
    • 4.5.8+ds-4
    • 4.5.8+ds-5
    • 4.5.8+ds-5~bpo12+1
    • 4.5.8+ds-6
    • 4.5.8+ds-7
    • 4.5.8+ds-8
    • 4.6.2+dfsg-1
    • 4.6.2+dfsg-2
    • 4.6.2+dfsg-2~bpo13+1
    • 4.7.0+dfsg-1
    • 4.7.0+dfsg-1~bpo13+1
    • 4.7.0+dfsg2-1
    • 4.7.1+dfsg-1
    • 4.7.2+dfsg-1
    • 4.7.2+dfsg-1~bpo13+1
    • 4.7.2+dfsg-2
    • 4.8.1+dfsg-1
    • 4.8.1+dfsg-1~bpo13+1
    • 4.8.3+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • electrum Debian:13

    Softwareversionen
    • 4.5.8+ds-6
    • 4.5.8+ds-7
    • 4.5.8+ds-8
    • 4.6.2+dfsg-1
    • 4.6.2+dfsg-2
    • 4.6.2+dfsg-2~bpo13+1
    • 4.7.0+dfsg-1
    • 4.7.0+dfsg-1~bpo13+1
    • 4.7.0+dfsg2-1
    • 4.7.1+dfsg-1
    • 4.7.2+dfsg-1
    • 4.7.2+dfsg-1~bpo13+1
    • 4.7.2+dfsg-2
    • 4.8.1+dfsg-1
    • 4.8.1+dfsg-1~bpo13+1
    • 4.8.3+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • electrum Debian:14

    Softwareversionen
    • 4.5.8+ds-6
    • 4.5.8+ds-7
    • 4.5.8+ds-8
    • 4.6.2+dfsg-1
    • 4.6.2+dfsg-2
    • 4.6.2+dfsg-2~bpo13+1
    • 4.7.0+dfsg-1
    • 4.7.0+dfsg-1~bpo13+1
    • 4.7.0+dfsg2-1
    • 4.7.1+dfsg-1
    • 4.7.2+dfsg-1
    • 4.7.2+dfsg-1~bpo13+1
    • 4.7.2+dfsg-2
    • 4.8.1+dfsg-1~bpo13+1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.8.1+dfsg-1

    Auf 4.8.1+dfsg-1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →