Static memo configuration in mpp Tempo disables per-challenge attribution binding, enabling third-party replay

Authentication Bypass by Capture-replay in ZenHive mpp allows an unauthenticated third party to obtain paid resources by replaying a transfer settled by an unrelated payer. MPP.Methods.Tempo normally binds a settled TIP-20 TransferWithMemo to the specific challenge under verification through an attribution nonce carried in the memo. When a static "memo" is configured in method_config, check_matched_memo_binding/3 returns the match unconditionally and that binding is skipped, leaving only token, recipient, amount and the static memo value to match on. The static memo is echoed in every unauthenticated 402 response and Tempo transfers are public, so an attacker can take any matching transfer paid by a legitimate customer, request a fresh challenge for the same route, and present that transaction hash as a type="hash" credential. The hash path performs no sender or signature check tying the presenter to the wallet that broadcast the transfer. This issue affects mpp: from 0.6.1 before 0.6.4.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 26 Aug 2026, published on 26 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

ZenHive mppにおけるキャプチャリプレイによる認証バイパスは、認証されていない第三者が無関係の支払人によって決済されたトランスファーをリプレイすることで、有料リソースを取得できる問題です。MPP.Methods.Tempoは通常、決済済みのTIP-20 TransferWithMemoを、メモに含まれる帰属ノンスを介して検証中の特定のチャレンジにバインドします。しかし、method_configで静的な「memo」が設定されている場合、check_matched_memo_binding/3は無条件に一致を返し、そのバインディングはスキップされるため、トークン、受取人、金額および静的メモ値のみが一致条件として残ります。静的メモは認証されていない402レスポンスのすべてにエコーされ、Tempoトランスファーは公開されます。したがって、攻撃者は正当な顧客によって支払われた一致する任意のトランスファーを取り、そのルートに対して新しいチャレンジを要求し、そのトランザクションハッシュをtype="hash"の資格情報として提示できます。ハッシュ経路は、提示者をトランスファーを送信したウォレットと結びつける送信者または署名の検証を行いません。この問題はmppのバージョン0.6.1から0.6.4未満に影響します。