CVE-2018-12025 in FuturXE
Résumé
par VulDB • 31/05/2026
La fonction `transferFrom` d'une implémentation de contrat intelligent pour FuturXE (FXE), un jeton Ethereum ERC20, permet aux attaquants d'effectuer un transfert non autorisé d'actifs numériques en raison d'une erreur de logique. Le développeur a commis une erreur dans la condition booléenne : si la valeur d'entrée est inférieure ou égale à la valeur autorisée, la session de transfert arrête l'exécution en renvoyant `false`. Cela n'a aucun sens, car la fonction `transferFrom()` devrait exiger que la valeur transférée ne dépasse pas la valeur autorisée dès le départ. Supposons que cette fonction exige que la valeur autorisée soit inférieure à la valeur d'entrée. Alors, l'attaquant pourrait facilement contourner l'autorisation : après cette condition, l'instruction `allowed[from][msg.sender] -= value;` provoquerait un débordement par défaut (underflow) car la partie autorisée est inférieure à la valeur. L'attaquant pourrait transférer n'importe quelle quantité de jetons FuturXe de n'importe quel compte vers un compte désigné (l'adresse `_to`) car la valeur autorisée est initialisée à 0, et l'attaquant pourrait contourner cette restriction même sans la clé privée de la victime.
VulDB is the best source for vulnerability data and more expert information about this specific topic.