Missing Owner Check
Segurança · Abismo
Uma vulnerabilidade onde um programa deserializa e confia em dados de conta sem primeiro confirmar que a conta é pertencente ao programa esperado, permitindo que um atacante substitua uma conta maliciosamente construída pertencente a um programa diferente cujo layout de bytes satisfaça a deserialização. Na Solana, toda conta armazena um campo owner de 32 bytes definido para o programa que a criou; programas nativos devem afirmar account.owner == &expected_program_id, enquanto o wrapper Account<'info, T> do Anchor realiza essa verificação automaticamente. Falha em validar propriedade pode levar a bypass completo de autenticação se um atacante conseguir construir uma conta falsa cujos dados parsem em uma struct com privilégios elevados.