CVE-2026-106511: MultiversX Multisig-improved - Ausência de Verificação de Autorização Permite Que a Função Proposer Movimente Fundos

Visão geral

O registro descreve a ausência de uma verificação de autorização independente na implementação de referência multisig-improved da MultiversX, parte de seu sistema de contratos multisig inteligentes on-chain. Segundo o registro, uma conta com a função Proposer pode executar ações que o desenho do sistema proíbe explicitamente.

Impacto

O registro afirma que a função Proposer pode movimentar fundos sozinha e esvaziar todo o saldo EGLD e ESDT de um contrato. A pontuação CVSS base de 9,8 é classificada como crítica, e o registro atribui a CWE-306, Missing Authentication for Critical Function.

Produtos e versões afetadas

Produto: MultiversX Labs S.R.L. Multisig-improved, repositório mx-multisig-and-modules.
O registro identifica o código afetado apenas por uma referência de commit no GitHub.
Nenhuma faixa de versões ou versão corrigida é listada, por isso esta análise não informa números de versão.

Status de exploração

Segundo o registro, o catálogo Known Exploited Vulnerabilities da CISA não inclui esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração do SSVC está definido como prova de conceito, o que sugere que material de prova de conceito pode existir, mas não confirma exploração ativa. A probabilidade EPSS é 0,00376, com percentil de 0,30413.

Correção e mitigação

Nenhuma versão corrigida ou correção é listada no registro; verifique o repositório upstream em busca de atualizações do mantenedor.
Até que uma correção verificada seja confirmada, revise as instâncias multisig implantadas que usam o código afetado e limite quais contas possuem a função Proposer.
Exija aprovação independente de múltiplos signatários para movimentações de fundos e verifique se as restrições baseadas em função são aplicadas como o desenho pretende.
Se não for possível confirmar que o código afetado foi corrigido, considere pausar contratos de alto valor e busque orientação dos mantenedores e de um auditor de segurança qualificado.

Orientações de detecção

Monitore a atividade dos contratos em busca de transferências de fundos que não tenham o número esperado de aprovações de signatários.
Gere alertas para contas com a função Proposer que atuem fora do escopo previsto e revise alterações recentes de atribuição de funções.
Acompanhe quedas de saldo em contratos multisig em relação a uma linha de base esperada.

Limitações das informações disponíveis

O registro não lista versões corrigidas, faixas detalhadas de versões afetadas nem se os contratos implantados são impactados. A disponibilidade de correção é desconhecida. A análise se limita ao registro e às referências que ele lista.

Perguntas frequentes

O que o CVE-2026-106511 afeta?

Segundo o registro, ele afeta a implementação de referência Multisig-improved da MultiversX Labs, do repositório mx-multisig-and-modules. O código afetado é identificado apenas por uma referência de commit no GitHub.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC indica apenas status de prova de conceito.

Existe correção disponível?

O registro não lista versão corrigida nem patch. A disponibilidade de correção é desconhecida, por isso verifique o repositório upstream em busca de atualizações do mantenedor e revise as instâncias implantadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.