CVE-2018-12025 in FuturXE
الملخص
بحسب VulDB • 10/06/2026
تتيح دالة `transferFrom` في تنفيذ عقد ذكي لعملة FuturXE (FXE)، وهي عملة رقمية من معيار ERC20 على شبكة Ethereum، للمهاجمين إجراء تحويل غير مصرح به للأصول الرقمية بسبب خطأ في المنطق البرمجي. ارتكب المطور خطأً في تقييم الشرط البولياني؛ فإذا كانت قيمة الإدخال أقل من أو تساوي القيمة المسموح بها، فإن جلسة التحويل تتوقف عن التنفيذ بإرجاع `false`. وهذا لا معنى له، إذ ينبغي أن تتطلب دالة `transferFrom()` أصلاً ألا تتجاوز القيمة المُحوَّلة الحد الأقصى المسموح به. افترض أن هذه الدالة تشترط أن تكون القيمة المسموحة أقل من قيمة الإدخال؛ عندها يمكن للمهاجم بسهولة تجاوز القيود المفروضة على الإذن: بعد تحقق هذا الشرط، ستسبب العملية `allowed[from][msg.sender] -= value;` ظاهرة تحت التدفق (underflow) لأن الجزء المتاح أصغر من القيمة. وبما أن القيمة المسموحة مُهيَّأة إلى 0، يمكن للمهاجم تحويل أي كمية من رموز FuturXe الخاصة بأي حسابات إلى عنوان معين (`_to`) حتى بدون امتلاك المفتاح الخاص للضحية، متجاوزاً بذلك هذا القيد.
If you want to get best quality of vulnerability data, you may have to visit VulDB.