CVE-2026-82406 in Klever-Go
Zusammenfassung
von VulDB • 23.09.2026
Klever-Go ist die Go-Implementierung des Klever-Blockchain-Protokolls. Vor Version 1.7.20 überprüft die native Marktplatz-Funktion core/kapp/market/market.go Buy nicht IsClaimed, bevor ein Gebot angenommen wird. Ein Verkäufer kann den Claim seller-accept-Zweig nutzen, um eine Ruhestellungs-Auktion (resting-bid auction) abzuwickeln und dabei die beanspruchte Bestelllast mit einem zukünftigen EndTime sowie veralteten CurrentBid- und CurrentBidder-Werten ladbar zu lassen. Ein späterer Bieter kann ein höheres Gebot abgeben, belastet werden und dazu führen, dass der vorherige Bieter eine Rückerstattung erhält, obwohl das NFT bereits geliefert wurde. Da Claim und CancelOrder den späteren Bieter ablehnen, wenn IsClaimed true ist, kann der spätere Bieter weder das NFT erhalten noch die Gelder zurückfordern. Dieses Problem wird in Version 1.7.20 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.