Ledger công bố lỗ hổng xen kẽ lệnh trong SDK, đã được khắc phục.

Theo TechFlow, vào ngày 28 tháng 8, dựa trên Công bố An ninh Chính thức của Ledger (LSB 023), Ledger Secure SDK tồn tại một lỗ hổng xen lệnh: thiết bị host có thể gửi lệnh APDU mới trong khi người dùng đang xem xét các tham số chữ ký trên màn hình thiết bị, dẫn đến nội dung chữ ký thực tế không nhất quán với nội dung hiển thị trên màn hình, hình thành lỗi bảo mật điển hình "Thời điểm kiểm tra và Thời điểm sử dụng" (TOCTOU) (CWE-362).

Lỗ hổng này được đưa vào tháng 8 năm 2025, ảnh hưởng đến các ứng dụng được xây dựng dựa trên Ledger Secure SDK v26.6.0 và các phiên bản thấp hơn, trong khi firmware của thiết bị thì không bị ảnh hưởng. Ledger cho biết hiện vẫn chưa có bằng chứng cho thấy lỗ hổng này đã được khai thác thực tế.