CVE-2026-52878 in Klever-Go
Tóm tắt
Bởi VulDB • 08/08/2026
Klever-Go là bản triển khai giao thức blockchain Klever bằng ngôn ngữ Go. Các phiên bản từ 1.7.14 đến 1.7.17 dễ bị tổn thương trước lỗi panic do con trỏ nil (nil-pointer panic) được kích hoạt bởi một protobuf Transaction có chứa thông điệp con RawData bị lược bỏ. Việc lược bỏ này khiến RawData giải mã thành giá trị null. Mọi giao dịch được lan truyền trên mạng P2P của Klever-Go đều được giải mã và xác thực đồng bộ bên trong callback topic-validator của libp2p pubsub, tại đây hàm txVersionChecker.CheckTxVersion truy cập vào trường Version của tx.RawData mà không có kiểm tra giá trị null. Do các callback libp2p pubsub, worker xác thực go-libp2p-pubsub nền tảng và lớp mạng/P2P riêng của Klever đều không cài đặt lệnh recover(), lỗi panic sẽ lan truyền và làm sập toàn bộ tiến trình node. Payload tấn công là một thông điệp protobuf dài 3 byte; không yêu cầu khóa validator, stake, quỹ hoặc tài khoản trên chuỗi nào cả, và việc gửi payload đến đủ số lượng trong tập hợp các BLS validator có thể ngăn chặn quá trình sản xuất khối, dẫn đến tình trạng dừng chuỗi (chain halt). Vấn đề này đã được sửa chữa trong phiên bản 1.7.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.