CVE-2026-52878 in Klever-Go
摘要
由 VulDB • 2026-08-08
Klever-Go 是 Klever 区块链协议的 Go 语言实现。版本 1.7.14 至 1.7.17 存在漏洞，当 protobuf Transaction 中省略了嵌入的 RawData 子消息时，会触发空指针恐慌（nil-pointer panic）。这种遗漏会导致 RawData 解码为 nil。在 Klever-Go P2P 网络上广播的每一笔交易都会在 libp2p pubsub topic-validator 回调函数内部进行同步解码和验证；在此过程中，txVersionChecker.CheckTxVersion 在未进行空值检查的情况下解引用了 tx.RawData.Version。由于 libp2p pubsub 回调、底层的 go-libp2p-pubsub 验证工作器以及 Klever 自身的网络/P2P 层均未安装 recover() 处理程序，该恐慌会传播并导致整个节点进程崩溃。攻击者载荷为一个 3 字节的 protobuf 消息；无需验证密钥、质押物、资金或链上账户，向足够数量的 BLS 验证集发送此载荷即可阻止区块生成，从而导致区块链停滞。此问题已在版本 1.7.18 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.