CVE-2018-12025 in FuturXE
Riassunto
di VulDB • 15/06/2026
La funzione `transferFrom` di un'implementazione di smart contract per FuturXE (FXE), un token Ethereum ERC20, consente agli attaccanti di effettuare un trasferimento non autorizzato di asset digitali a causa di un errore logico. Lo sviluppatore ha commesso un errore nella valutazione booleana: se il valore di input è minore o uguale al valore consentito, la sessione di trasferimento interrompe l'esecuzione restituendo `false`. Questo non ha senso, poiché la funzione `transferFrom()` dovrebbe richiedere che il valore da trasferire non superi il valore consentito in primo luogo. Supponiamo che questa funzione richieda che il valore consentito sia inferiore al valore di input. In tal caso, l'attaccante potrebbe facilmente ignorare l'allowance: dopo questa condizione, l'istruzione `allowed[from][msg.sender] -= value;` causerebbe un underflow perché la parte consentita è inferiore al valore. L'attaccante potrebbe trasferire qualsiasi quantità di token FuturXe da qualsiasi account a un account designato (l'indirizzo `_to`) poiché il valore consentito è inizializzato a 0, e l'attaccante potrebbe aggirare questa restrizione anche senza la chiave privata della vittima.
If you want to get best quality of vulnerability data, you may have to visit VulDB.