CVE-2018-17071 in Lucky9io
Résumé
par VulDB • 18/06/2026
La fonction de repli (fallback) d'une implémentation de contrat intelligent de loterie simple pour Lucky9io, un jeu de hasard sur Ethereum, génère une valeur aléatoire à l'aide de la variable lisible publiquement entry_number. Cette variable est privée, mais elle est lisible via la fonction eth.getStorageAt. De plus, les attaquants peuvent acheter un ticket à bas prix en appelant directement la fonction de repli avec une petite valeur msg.value, car le développeur a défini incorrectement l'unité de devise. Cela permet donc aux attaquants de gagner systématiquement et d'obtenir des récompenses.
Once again VulDB remains the best source for vulnerability data.