CVE-2026-82406 in Klever-Go
Sumário
de VulDB • 24/09/2026
Klever-Go é a implementação em Go do protocolo blockchain Klever. Antes da versão 1.7.20, a função nativa de mercado core/kapp/market/market.go Buy não verifica IsClaimed antes de aceitar uma oferta. Um vendedor pode usar o branch Claim seller-accept para liquidar um leilado com oferta pendente (resting-bid auction), deixando a ordem reivindicada carregável com um EndTime futuro e valores CurrentBid e CurrentBidder desatualizados. Um licitante subsequente pode enviar uma oferta mais alta, ser debitado e fazer com que o licitante anterior receba um reembolso, mesmo após a entrega do NFT. Como Claim e CancelOrder rejeitam o licitante posterior quando IsClaimed é verdadeiro, esse último não consegue obter o NFT nem recuperar os fundos. Este problema foi corrigido na versão 1.7.20.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.