CVE-2026-117603：Electrum 4.7.2 之前 Nostr Wallet Connect 外掛每日限額繞過漏洞
CVE-2026-117603 - Electrum before 4.7.2 Nostr Wallet Connect Plugin Daily Spending Limit Bypass
Electrum 4.7.2 之前版本的 Nostr Wallet Connect 外掛存在每日限額繞過漏洞，攻擊者可利用非原子預算檢查與 millisatoshi 截斷，超額支出比特幣。
此漏洞使攻擊者可繞過每日限額，盜取比特幣，提醒使用者升級至 4.7.2 或以上版本。
譯文尚未完整，完整內容請切換至原文。
Electrum 4.7.2 之前的版本在 Nostr Wallet Connect 外掛中存在一個可繞過每日花費限制的漏洞，允許惡意 NWC 客戶端利用非原子化的預算檢查和毫聖多位數截斷來超過 daily_limit_sat。攻擊者可以傳送同時執行的 pay_invoice 請求，先通過 budget_allows_spend() 再執行 add_to_budget()，或重複支付被截斷為整個 satoshi 的 msat 金額，從而將資金抽空超過限制。
影響
受影響產品
以下產品受 CVE-2026-117603 漏洞影響。
漏洞。
即使 cvefeed.io 知道確切版本，
產品
之
為
受影響，資訊未在下表中顯示。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Electrum | electrum |
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們從多個來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 中等 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | 中等 | MITRE-CVE | ||||
| CVSS 3.1 | 中等 | [email protected] | ||||
| CVSS 4.0 | 關鍵 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | 關鍵 | [email protected] |
此處提供一份精選外部連結，涵蓋關於
CVE-2026-117603 的深入資訊、實用解決方案與有價值工具。
CVE 針對具體漏洞例項，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-117603 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) 存放攻擊模式，這些模式描述了對手為利用 CVE-2026-117603 漏洞所採用的常見特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已在 GitHub 釋出的公開漏洞與概念驗證集合，按最近更新時間排序。
由於潛在效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中提及 CVE-2026-117603 漏洞的新聞。
以下表格列出 CVE-2026-117603 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞演變，並識別可能影響其嚴重性、可利用性或其他特徵的最新變更。
-
New CVE Received by [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 說明 Electrum 4.7.2 之前的版本在 Nostr Wallet Connect 外掛中存在一次性支出限制繞過漏洞，允許惡意 NWC 客戶端透過非原子預算檢查及毫秒聖多（millisatoshi）截斷，超過 daily_limit_sat。攻擊者可同時傳送 pay_invoice 請求，先通過 budget_allows_spend() 再執行 add_to_budget()，或反覆支付被截斷為整數聖多的 msat 金額，以耗盡超過限制的資金。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N 新增 CWE CWE-367 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/117xxx/CVE-2026-117603.json">CVE-2026-117603</a> 新增 參考 https://github.com/spesmilo/electrum/commit/3956bff0684f6060fbe8c823c3ee921928cdcaa5 新增 參考 https://github.com/spesmilo/electrum/commit/5222374046d2a92da371d46c79ce0e61e7e2a42d 新增 參考 https://github.com/spesmilo/electrum/security/advisories/GHSA-q7m2-785w-r585 新增 參考 https://www.vulncheck.com/advisories/electrum-before-4.7.2-nostr-wallet-connect-plugin-daily-spending-limit-bypass
EPSS 是對未來 30 天內觀測到利用活動的每日機率估計。下圖顯示該漏洞的 EPSS 分數歷史。