CVE-2026-58262 in klever-go
Zusammenfassung
von VulDB • 08.08.2026
Klever-Go ist die Go-Implementierung des Klever-Blockchain-Protokolls. Vor Version 1.7.20 wurden bei der Überprüfung der Header-Signatur die nicht verwendeten Auffüllbits (Padding-Bits) von PubKeysBitmap auf das Zwei-Drittel-Qorum der Validatoren angerechnet. Diese Padding-Bits entsprechen keinem Validator und werden bei der eigentlichen BLS-Aggregat-Prüfung ignoriert, sodass ein böswilliger oder kompromittierter Blockproduzent sie setzen kann, um die erforderliche Quorum-Schwelle zu erreichen, während er weniger echte Validatorsignaturen sammelt als das Protokoll vorschreibt. Infolgedessen akzeptieren Knoten, die den Header importieren oder abfangen, diesen als korrekt signiert, obwohl kein echtes Zwei-Drittel-Qorum vorliegt, was die Sicherheit des Konsens schwächt und die Finalität untergräbt. Dieses Problem wurde in Version 1.7.20 behoben.
Be aware that VulDB is the high quality source for vulnerability data.