Vulnerabilidad en rs-soroban-sdk de stellar (CVE-2026-32322)

soroban-sdk es un SDK de Rust para contratos Soroban. Antes de 22.0.11, 23.5.3 y 25.3.0, los tipos Fr (campo escalar) para BN254 y BLS12-381 en soroban-sdk comparaban valores usando su representación U256 cruda sin reducir primero el módulo del módulo de campo r. Esto causó que elementos de campo matemáticamente iguales se compararan como no-iguales cuando uno o ambos valores no estaban reducidos (es decir, >= r). La vulnerabilidad requiere que un atacante suministre valores Fr manipulados a través de entradas de contrato, y los compare directamente sin pasar por operaciones aritméticas del lado del host. Los contratos inteligentes que dependen de comprobaciones de igualdad de Fr para lógica de seguridad crítica podrían producir resultados incorrectos. El impacto depende de cómo el contrato afectado utiliza las comparaciones de igualdad de Fr, pero puede resultar en decisiones de autorización incorrectas o elusión de validaciones en contratos que realizan comprobaciones de igualdad en valores escalares suministrados por el usuario. Esta vulnerabilidad está corregida en 22.0.11, 23.5.3 y 25.3.0.