Monero

Monero 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 拒绝服务18
• 业务逻辑12
• 其他弱点11
• 信息泄露9
• 内存破坏8
• 访问控制6
• 密码学缺陷6
• 代码执行4
• 身份认证3
• 错误配置2
• 注入与走私2
• 跨站请求伪造1

主要弱点

• 资源消耗失控18
• Unlabeled11
• 业务逻辑错误10
• 信息泄露6
• 访问控制缺陷（通用）6
• 代码注入4
• Missing Required Cryptographic Step3
• 隐私侵犯3
• 认证缺陷（通用）2
• Unlabeled2

常见资产

• · 82

高票报告

当前状态 82 份 · 全部 82

1. 97
   Critical Deadlock Vulnerability in Monero RPC Leading to Complete Node Paralysis拒绝服务 · 2026-05-07 · 严重
   $0资源消耗失控
2. 97
   low-level p2p ping + tcp flooding leads to a remote crash in monerod其他弱点 · 2025-04-15 · 严重
   $0Unlabeled
3. 75
   [Monero wallet RPC] File precreation to file ownership and credentials leak访问控制 · 2024-09-05 · 未评级
   $0访问控制缺陷（通用）
4. 54
   Wallet RPC Restricted-Mode Policy Bypass身份认证 · 2026-08-17 · 高危
   $0认证缺陷（通用）
5. 52
   Restricted RPC leaks alternative block hashes via /get_alt_blocks_hashes访问控制 · 2026-07-20 · 低危
   $0访问控制缺陷（通用）
6. 47
   RPC service DOS拒绝服务 · 2025-05-23 · 中危
   $0资源消耗失控
7. 46
   Dynamic fee algorithm doesn't check for zero fee拒绝服务 · 2025-05-23 · 低危
   $0资源消耗失控
8. 44
   Monero GUI OpenAlias DNSSEC-invalid resolution still writes spoofable address into recipient field其他弱点 · 2026-08-21 · 中危
   $0Unlabeled
9. 44
   wallet-rpc crash via malformed /gettransactions response (empty txs → vector::front() in check_tx_key / check_tx_proof)内存破坏 · 2026-08-05 · 高危
   $0空指针解引用
10. 43
    forum.getmonero.org Shell upload代码执行 · 2018-07-27 · 高危
    $0代码注入
11. 42
    `check_reserve_proof` counts duplicate entries: one output can inflate `total`业务逻辑 · 2026-08-05 · 中危
    $0业务逻辑错误
12. 40
    Windows installer grants low-privileged users write access to executable P2Pool directory, enabling local code execution访问控制 · 2026-08-21 · 高危
    $0访问控制缺陷（通用）
13. 40
    Restricted RPC Policy Bypass on ZMQ JSON-RPC Allows Unauthenticated Remote Admin Actions身份认证 · 2026-08-17 · 高危
    $0认证缺陷（通用）
14. 39
    Connection Count Bug in Monero Node Enables Outbound Peer Reset Attack信息泄露 · 2026-05-07 · 未评级
    $0隐私侵犯
15. 37
    `check_reserve_proof` sums RingCT ECDH amounts without checking the output commitment密码学缺陷 · 2026-08-05 · 中危
    $0Missing Required Cryptographic Step
16. 35
    sign_multisig crashes monero-wallet-rpc on a malformed but decryptable multisig txset密码学缺陷 · 2026-09-18 · 高危
    $0Unlabeled
17. 32
    View-only offline transaction creation bypasses the long-payment-ID privacy block信息泄露 · 2026-08-21 · 中危
    $0信息泄露
18. 32
    Authenticated `unsigned_txset` change spoof lets a malicious hot wallet steal cold-signer change业务逻辑 · 2026-09-16 · 高危
    $0业务逻辑错误
19. 30
    HTML Injection in Transaction Confirmation Dialog via Address Book Description Enables UI Spoofing Before Fund Transfer代码执行 · 2026-08-21 · 中危
    $0代码注入
20. 30
    ZMQ RPC Log Injection and Untrusted Payload Persistence注入与走私 · 2026-07-25 · 中危
    $0CRLF 注入
21. 30
    CryptoNote: remote node DoS拒绝服务 · 2019-07-03 · 高危
    $0资源消耗失控
22. 29
    Monero Website & Kovri on your policy are returning 404 not found.业务逻辑 · 2018-04-25 · 低危
    $0业务逻辑错误
23. 28
    SpendProofV1 txid-substitution: get_spend_proof/check_spend_proof do not verify returned transaction hash密码学缺陷 · 2026-08-05 · 中危
    $0Missing Required Cryptographic Step
24. 28
    RPC call crashes node拒绝服务 · 2022-08-20 · 高危
    $0资源消耗失控
25. 27
    Hardware Wallets Do Not Check Unlock TIme密码学缺陷 · 2021-09-12 · 中危
    $0中间人攻击