Vulnerabilidad en klever-go de klever-io (CVE-2026-52878)

Klever-Go es la implementación en Go del protocolo de cadena de bloques Klever. Las versiones 1.7.14 a la 1.7.17 son vulnerables a un pánico por puntero nulo provocado por una transacción protobuf cuyo submensaje RawData incrustado se omite. Esta omisión hace que RawData se decodifique como nulo. Cada transacción difundida en la red P2P de Klever-Go se decodifica y valida sincrónicamente dentro de la devolución de llamada del validador de temas de libp2p pubsub, donde txVersionChecker.CheckTxVersion desreferencia tx.RawData.Version sin una comprobación de nulo. Debido a que la devolución de llamada de libp2p pubsub, el trabajador de validación subyacente de go-libp2p-pubsub y la propia capa de red/P2P de Klever no instalan ningún recover(), el pánico se propaga y bloquea todo el proceso del nodo. La carga útil del atacante es un mensaje protobuf de 3 bytes; no se requiere clave de validador, participación, fondos o cuenta en cadena, y la entrega dirigida a una cantidad suficiente del conjunto de validadores BLS puede detener la producción de bloques, lo que resulta en una detención de la cadena. Este problema ha sido solucionado en la versión 1.7.18.