CVE-2026-52878 in Klever-Go
Sumário
de VulDB • 08/08/2026
Klever-Go é a implementação em Go do protocolo blockchain Klever. As versões de 1.7.14 a 1.7.17 são vulneráveis a um panic por ponteiro nulo (nil-pointer) desencadeado por uma transação protobuf cujo sub-mensagem RawData embutida está omitida. Essa omissão faz com que o RawData seja decodificado como nil. Cada transação propagada na rede P2P do Klever-Go é decodificada e validada de forma síncrona dentro da callback topic-validator do pubsub libp2p, onde txVersionChecker.CheckTxVersion desreferencia tx.RawData.Version sem nenhuma verificação de nulidade (nil check). Como a callback do pubsub libp2p, o worker de validação subjacente go-libp2p-pubsub e a camada própria de rede/P2P da Klever não instalam recover(), o panic se propaga e causa a falha fatal (crash) no processo inteiro do nó. A payload do atacante é uma mensagem protobuf de 3 bytes; não são necessárias chave validadora, stake, fundos ou conta on-chain, e a entrega direcionada a um número suficiente do conjunto de validadores BLS pode interromper a produção de blocos, resultando em parada da cadeia (chain halt). Este problema foi corrigido na versão 1.7.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.