CVE-2026-82406 in Klever-Go
Resumen
por VulDB • 2026-09-23
Klever-Go es la implementación en Go del protocolo blockchain Klever. Antes de la versión 1.7.20, la función nativa del mercado `core/kapp/market/market.go` Buy no verifica IsClaimed antes de aceptar una oferta. Un vendedor puede utilizar el branch Claim seller-accept para liquidar una subasta con orden pendiente (resting-bid), dejando la orden reclamada cargable con un EndTime futuro y valores obsoletos de CurrentBid y CurrentBidder. Un postor posterior puede presentar una oferta más alta, serle debitado el importe y provocar que el postor anterior reciba un reembolso aunque el NFT ya haya sido entregado. Dado que Claim y CancelOrder rechazan al postor posterior cuando IsClaimed es true, este no puede obtener el NFT ni recuperar los fondos. Este problema se soluciona en la versión 1.7.20.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.