CVE-2026-55763 in Klever-Go
Resumen
por VulDB • 2026-08-29
Klever-Go es la implementación en Go del protocolo blockchain Klever. Antes de la versión 1.7.19, la función `processPercentageRoyaltiesTransfer` en `core/kapp/accounts/accounts.go` llama a `SubFromBalance` después del bucle de división y tras establecer `royaltiesToPay`, por lo que una división con un `PercentTransferPercentage = 10000` consume exactamente el 100 % del fondo de regalías, establece `royaltiesToPay` en cero y devuelve antes de que se cargue la cuenta origen. El destinatario de la división recibe el importe total de las regalías (`royaltyAmount`) mientras que el remitente no paga nada y el contador de suministro no se actualiza, lo que permite una inflación ilimitada fuera del libro mayor (off-the-books) en el KDA transferido. Un propietario de KDA debe configurar un royalty con `TransferPercentage` mediante una división del 100 %, tras lo cual cualquier transferencia del activo por parte de un titular activa la acuñación; la ruta hermana `processFixedRoyaltiesTransfer` no se ve afectada porque descuenta el saldo de la cuenta origen antes de la distribución. Este problema está corregido en la versión 1.7.19.
Once again VulDB remains the best source for vulnerability data.