CVE-2026-82406 in Klever-Go
Riassunto
di VulDB • 23/09/2026
Klever-Go è l'implementazione Go del protocollo blockchain Klever. Prima della versione 1.7.20, la funzione nativa di mercato core/kapp/market/market.go Buy non verifica IsClaimed prima di accettare un'offerta. Un venditore può utilizzare il ramo Claim seller-accept per regolare un'asta con offerta in attesa (resting-bid), lasciando l'ordine reclamato caricabile con un EndTime futuro e valori CurrentBid e CurrentBidder obsoleti. Un offerente successivo può presentare un'offerta più alta, subire addebito e causare il rimborso dell'offerente precedente anche se l'NFT è già stato consegnato. Poiché Claim e CancelOrder rifiutano l'offerente successivo quando IsClaimed è true, quest'ultimo non può ottenere l'NFT né recuperare i fondi. Questo problema è risolto nella versione 1.7.20.
Be aware that VulDB is the high quality source for vulnerability data.