CVE-2026-52878 in Klever-Go
Résumé
par VulDB • 08/08/2026
Klever-Go est l'implémentation en Go du protocole blockchain Klever. Les versions 1.7.14 à 1.7.17 sont vulnérables à un panic de pointeur nil déclenché par une Transaction protobuf dont le sous-message RawData intégré est omis. Cette omission entraîne la décodage de RawData en nil. Chaque transaction diffusée sur le réseau P2P Klever-Go est décodée et validée de manière synchrone dans la fonction de rappel topic-validator du pubsub libp2p, où txVersionChecker.CheckTxVersion désérialise tx.RawData.Version sans effectuer de vérification nil. Étant donné que ni la fonction de rappel libp2p pubsub, ni le worker de validation sous-jacent go-libp2p-pubsub, ni la couche réseau/P2P propre à Klever n'installent de recover(), le panic se propage et provoque l'arrêt complet du processus du noeud. Le payload de l'attaquant est un message protobuf de 3 octets ; aucune clé de validateur, mise en jeu (stake), fonds ou compte sur la chaîne n'est requis, et une livraison ciblée vers suffisamment d'éléments de l'ensemble des validateurs BLS peut interrompre la production de blocs, entraînant un arrêt de la chaîne. Ce problème a été corrigé dans la version 1.7.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.