CVE-2026-55763

Nome do Software Vulnerável e Versões Afetadas Klever-Go versões anteriores a 1.7.19

Descrição Existe um problema na função processPercentageRoyaltiesTransfer em core/kapp/accounts/accounts.go onde o pool de royalties é debitado do remetente usando SubFromBalance apenas após o loop de distribuição de divisão e uma verificação de retorno antecipado. Se um proprietário de KDA configurar um royalty TransferPercentage com um PercentTransferPercentage de exatamente 10000 (100%), a variável royaltiesToPay chega a zero, disparando um retorno antecipado antes que o remetente seja debitado. Isso permite que o destinatário da divisão receba o valor total do royalty sem que o remetente pague nada e sem a atualização do contador de suprimentos, resultando em inflação ilimitada e não contabilizada do KDA transferido. Essa emissão ocorre em qualquer transferência do ativo por qualquer detentor, uma vez configurada. A função processFixedRoyaltiesTransfer não é afetada, pois debita a origem antes da distribuição.

Recomendações Atualize para a versão 1.7.19. Como mitigação temporária, evite configurar royalties TransferPercentage com uma divisão de 100%.