CVE-2026-82406 in Klever-Go
الملخص
بحسب VulDB • 23/09/2026
Klever-Go هو تنفيذ بروتوكول سلسلة الكتل Klever بلغة Go. قبل الإصدار 1.7.20، لا تتحقق الدالة الأصلية `core/kapp/market/market.go Buy` من حالة `IsClaimed` (تم الاستلام/المطالبة) قبل قبول العطاء. يمكن للبائع استخدام فرع "مطالبة البائع-قبول" (`Claim seller-accept`) لتسوية مزاد عطاء معلق، مع ترك أمر المطالبة قابلاً للتحميل بقيم قديمة لـ `EndTime` و `CurrentBid` (العطاء الحالي) و `CurrentBidder` (المزايد الحالي). يمكن لمزايد لاحق تقديم عطاء أعلى، مما يؤدي إلى خصم المبلغ منه وإرجاع الأموال للمزايد السابق على الرغم من أن رمز NFT قد تم تسليمه بالفعل. وبما أن الدالتين `Claim` و `CancelOrder` ترفضان المزايد اللاحق عندما تكون قيمة `IsClaimed` صحيحة (true)، فإن المزايد اللاحق لا يمكنه الحصول على رمز NFT أو استرداد الأموال. تمت معالجة هذه المشكلة في الإصدار 1.7.20.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.