CVE-2026-82405

Nome do Software Vulnerável e Versões Afetadas Klever-Go versões anteriores a 1.7.20

Description Existe um problema na função integrada KleverUpdateAccountPermission onde a verificação de autorização utiliza incorretamente a variável vmInput.RecipientAddr em vez da vmInput.CallerAddr autenticada. Isso permite que um contrato inteligente controlado por um invasor especifique a conta de uma vítima como RecipientAddr, a qual o sistema então valida contra as permissões de autoassinatura padrão da própria vítima. Consequentemente, a função UpdatePermission() pode ser usada para substituir todo o conjunto de permissões da vítima por permissões de Proprietário (Owner) fornecidas pelo invasor. Isso pode levar ao controle total da conta, permitindo o roubo de ativos ou o bloqueio permanente da conta sem a necessidade da chave privada ou assinatura da vítima. Este problema afeta especificamente contas com permissões configuradas; contas sem permissões armazenadas e o caminho de transação nativo não são afetados.

Recommendations Atualize o Klever-Go para a versão 1.7.20. Como medida de mitigação temporária, restrinja o uso da função KleverUpdateAccountPermission via contratos inteligentes até que a atualização seja aplicada.