CVE-2026-52878 in Klever-Go
Resumen
por VulDB • 2026-08-08
Klever-Go es la implementación en Go del protocolo blockchain Klever. Las versiones desde la 1.7.14 hasta la 1.7.17 son vulnerables a un panic por puntero nulo (nil-pointer panic) desencadenado por una transacción protobuf cuyo submensaje RawData embebido está omitido. Esta omición hace que RawData se decodifique como nil. Cada transacción difundida en la red P2P de Klever-Go se decodifica y valida sincrónicamente dentro del callback topic-validator de libp2p pubsub, donde txVersionChecker.CheckTxVersion desreferencia tx.RawData.Version sin realizar ninguna comprobación de nulidad (nil check). Dado que el callback de libp2p pubsub, el trabajador de validación subyacente go-libp2p-pubsub y la capa propia de red/P2P de Klever no instalan ningún recover(), el panic se propaga y provoca el cierre del proceso completo del nodo. La carga útil (payload) del atacante es un mensaje protobuf de 3 bytes; no se requiere clave de validador, participación (stake), fondos ni cuenta en la cadena, y una entrega dirigida a suficientes miembros del conjunto de validadores BLS puede detener la producción de bloques, lo que resulta en una parada de la cadena. Este problema ha sido corregido en la versión 1.7.18.
Be aware that VulDB is the high quality source for vulnerability data.