Vulnerabilidad en core-rs-albatross de nimiq (CVE-2026-40092)

nimiq-blockchain proporciona almacenamiento persistente de bloques para la implementación en Rust de Nimiq. En las versiones 1.3.0 e inferiores, un par de red malicioso puede colapsar cualquier nodo completo de Nimiq publicando un registro DHT de Kademlia manipulado. El registro manipulado maliciosamente contendría un TaggedSigned con un campo de firma cuya longitud en bytes no es exactamente 64 para causar un colapso. Cuando el verificador DHT del nodo víctima llama a TaggedSigned::verify, la ejecución llega a Ed25519Signature::from_bytes(sig).unwrap() en la implementación de TaggedPublicKey para Ed25519PublicKey. La llamada a from_bytes falla porque ed25519_zebra::Signature::try_from rechaza segmentos que no tienen 64 bytes, y el unwrap() entra en pánico. La implementación BLS de TaggedPublicKey devuelve correctamente 'false' en caso de error; solo la implementación de Ed25519 entra en pánico. Este problema ha sido solucionado en la versión 1.4.0.