CVE-2026-62300— Filecoin Pin 无限制 DAG 固定资源耗尽漏洞
一分钟漏洞结论
影响对象
filecoin-project filecoin-pin
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Filecoin Pin 是一个 IPFS 固定服务（Pinning Service）的 API 实现，用于将内容固定到 Filecoin 的 PDP 服务中。在版本 1.1.0 及更早的守护进程部署中， 文件中的 接口会使用 对调用方提供的 CID 进行解析，并将其传递给 ，但该接口并未实施请求速率限制或每用户配额控制。 在 中，每个固定操作都会独立地通过 调度 方法执行，未使用队列、信号量或并发上限进行控制。随后，该方法会递归遍历整个有向无环图（DAG），调用 。在 中，为每个固定操作创建的 Helia/Bit
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-62300 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Filecoin Pin: Unbounded DAG pinning can exhaust filecoin-pin server resources
来源: CVE Program / CVE List V5
Vulnerability Description
Filecoin Pin is an IPFS Pinning Service API implementation that pins to Filecoin's PDP service. In daemon deployments up to and including version 1.1.0, `POST /pins` in `src/filecoin-pinning-server.ts` checks a caller-supplied CID with `CID.parse` and passes it to `pinStore.pin`, but does not enforce request rate limits or per-user quotas. In `src/filecoin-pin-store.ts`, each pin independently schedules `_processPinInBackground` with `setTimeout` without a queue, semaphore or concurrency cap, then recursively traverses the full DAG using `helia.pins.add(cid)`. The per-pin Helia/Bitswap node in `src/create-pinning-helia.ts` has no application-level byte, block or traversal-time limits. Blocks are written under `carStoragePath` by `src/core/car/car-blockstore-base.ts` and `src/core/car/car-file-backend.ts`, with `stats.totalSize` updated only after writing. An authenticated caller, or an anonymous caller when `ALLOW_NO_AUTH=true`, can submit large DAGs and exhaust disk, network, CPU, memory and libp2p resources, causing service degradation or host/process failure and leaving partial CAR files requiring recovery. The default localhost binding and token requirement reduce exposure. Because nodes have no bootstrap or mDNS configuration, a CID alone may not be fetchable, but caller-supplied `origins` can point to a reachable attacker-controlled libp2p source; concurrent requests accelerate resource pressure. Version 1.1.1 documents operational mitigations but does not implement the missing resource controls.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
未加控制的资源消耗(资源穷尽)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| filecoin-project | filecoin-pin | <= 1.1.0 | - |
|
二、漏洞 CVE-2026-62300 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-62300 的情报信息
请登录查看更多情报信息。