Electrum: Umgehung des Ausgabenlimits im Nostr-Wallet-Connect-Plugin

Zusammenfassung

Electrum vor 4.7.2 enthält eine Umgehung des Ausgabenlimits im Plugin Nostr Wallet Connect (NWC). Ein bösartiger oder kompromittierter NWC-Client mit bestehender Verbindung kann gleichzeitige Zahlungsanfragen senden, die die Budgetprüfung passieren, bevor das Budget aktualisiert wird. Alternativ kann er Zahlungen in Millisatoshi wiederholen, die auf ganze Satoshi abgerundet werden. Dadurch kann er mehr Geld ausgeben als das konfigurierte Tageslimit erlaubt. Ein Angreifer benötigt eine gültige NWC-Verbindung, die der Wallet-Besitzer erstellt hat.

Betroffen

• Electrum-Versionen unter 4.7.2 mit aktiviertem NWC-Plugin (der CVE-Eintrag nennt 0 bis < 4.7.2; das Security-Advisory des Herstellers nennt 4.6.0 bis < 4.7.2, da das Plugin in 4.6.0 eingeführt wurde)

Behoben in

• Electrum 4.7.2 oder neuer (Upstream-Fix-Commits 3956bff und 5222374)

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Bis zur Aktualisierung unbenutzte NWC-Verbindungen entfernen, NWC-Geheimnisse erneuern und Tageslimits tief halten.
• Drittanbieter-Empfehlungen (nicht vom Hersteller verifiziert): Neue Verbindungen manuell freigeben lassen und ein zweites Ausgabenlimit an der Grenze zum Zahlungsdienst setzen.

Ausnutzung

• OffSeq meldet, dass die CVE nicht als aktiv ausgenutzt bekannt ist.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Ausnutzung in freier Wildbahn: unbekannt, die CVE ist erst wenige Tage alt.

Unsere Empfehlung

• Prüfen, ob auf einer Electrum-Installation das NWC-Plugin aktiviert ist, und die Version notieren.
• Alle Installationen unter 4.7.2 auf die aktuelle Upstream-Version aktualisieren.
• NWC-Geheimnisse erneuern und unbenutzte oder unbekannte NWC-Verbindungen entfernen.
• Zahlungsprotokolle auf Transaktionen über dem erwarteten Limit überwachen.
• NVD und CISA erneut prüfen, sobald der Eintrag analysiert wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-q7m2-785w-r585 github.com
• VulnCheck advisory www.vulncheck.com
• Fix commit 3956bff github.com
• Fix commit 5222374 github.com
• OffSeq threat radar radar.offseq.com
• Ubuntu security notice ubuntu.com
• Strix CVE overview www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:35.