Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2026-52733

PUBLISHED 19.08.2026

CNA: GitHub_M

ZEBRA: Persistent on-disk corruption of Sapling/Orchard subtree roots after chain fork via pop_tip

Обновлено: 18.08.2026
ZEBRA is a Zcash node written entirely in Rust. Prior to 4.5.0, a natural or attacker-influenced chain fork can leave stale Sapling and Orchard note-commitment subtree roots in Zebra state. In zebra-state/src/service/non_finalized_state/chain.rs, Chain::pop_tip removed a reverted tip block but did not remove subtree entries whose end_height belonged to that block, unlike the cleanup performed by pop_root. When the winning fork later finalized, the abandoned branch's stale subtree data could be written to RocksDB and survive node restarts. The corrupted history can cause z_getsubtreesbyindex consumers such as lightwalletd and light wallets to receive incorrect subtree roots, producing wallet synchronization failures or incorrect wallet state and requiring a full state rebuild for recovery. This issue is fixed in version 4.5.0.

CWE

Идентификатор Описание
CWE-459 The product does not properly "clean up" and remove temporary or supporting resources after they have been used.
CWE-672 The product uses, accesses, or otherwise operates on a resource after that resource has been expired, released, or revoked.

CVSS

Оценка Severity Версия Базовый вектор
6.5 MEDIUM 3.1 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:L

EPSS

Вероятность Severity Процентиль ? Дата расчёта
0.34% LOW 26.15 30.08.2026

Доп. Информация

Product Status

zebra
Product: zebra
Vendor: ZcashFoundation
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии < 4.5.0 affected
zebra-state
Product: zebra-state
Vendor: ZcashFoundation
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии < 7.0.0 affected
 

Ссылки

CISA ADP Vulnrichment

Обновлено: 19.08.2026
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.

SSVC

Exploitation Automatable Technical Impact Версия Дата доступа
none no partial 2.0.3 19.08.2026

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.