Bitcoinjs-lib 修補兩個影響礦工費用計算的漏洞

Bitcoinjs-lib 已修補兩個可能導致比特幣應用程式中礦工費用計算不正確的漏洞。這些安全更新於 10 月 26 日發布，包含在版本 5.2.2、6.1.9 和 7.0.4 中。這些問題主要影響部分簽名比特幣交易（PSBTs），該交易由 BIP 174 定義，用於共享交易信息和簽名。使用這些庫的應用程式如果在沒有獨立驗證的情況下信任 bitcoinjs-lib 的計算，可能會錯誤計算費用。第一個缺陷允許簽名和費用會計使用不同的輸入值，導致顯著的差異。例如，一個演示顯示實際費用為 900,000,000 聲明為僅 200 聲明。第二個缺陷涉及缺少輸入值記錄，導致費用計算器將這些輸入視為零，從而產生誤導性的費用報告。一個例子顯示真實費用為 91,000 聲明為 1,000 聲明。修補後的版本現在要求在計算費用時為每個輸入提供一個值，並拒絕衝突的記錄。受影響的版本包括 5.2.0 到 5.2.1、6.0.0 到 6.1.8 和 7.0.0 到 7.0.3。無法升級的用戶應獨立驗證輸出值，並在簽名前拒絕衝突的記錄。