Vulnérabilité dans github.com/klever-io/klever-go (CVE-2026-55764)
Résumé
Vulnérabilité dans github.com/klever-io/klever-go (CVE-2026-55764). Risque d'opérations non autorisées ou de divulgation. Exploitable via SFTAddCirculation. Atténuation : mise à jour vers 1.7.19 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
On the SFT add-quantity path the only supply bound is SFTAddCirculation, which does
meta.Circulation += amount with no overflow guard, then checks
if meta.Circulation > meta.MaxSupply && meta.MaxSupply != 0. If amount overflows int64 and wraps
negative, negative > MaxSupply is false, the cap check passes, the function returns nil, and the balance
credit stands. A nonce created with a finite MaxSupply (e.g. 1000) can thus be minted to ~MaxInt64 tokens in
one transaction. The fungible mint path is not vulnerable — it has a post-increment MintedValue <= 0 guard
that the SFT path lacks.
Affected code
core/kapp/systemAccount/systemAcount.go:132-138(SFTAddCirculation, the unguarded+=).- Caller:
core/kapp/kda/mint.go:247-283(processSemiFungibleAddQuantity); contrast guardmint.go:289.
Impact
A mint-role holder mints ~9.2e18 units of a nonce whose declared MaxSupply is small, with no authorized debit,
and corrupts the on-chain Circulation counter to a negative value (misleading any market/indexer that reads it).
Reachability
Mint-role holder (asset owner or an address granted the role). The mint Amount is a raw int64 from the
contract with no upstream upper bound.
Proof of concept
Unit test
TestExploit_SFTCirculationOverflowBypassesCap creates a nonce capped at MaxSupply = 1000, seeds
Circulation = 5, then calls SFTAddCirculation(MaxInt64). The call returns nil (cap bypassed) and `Circ…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-55764 a été découverte dans github.com/klever-io/klever-go.
Des attaquants peuvent cibler un point d'entrée spécifique comme SFTAddCirculation à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/klever-io/klever-go vers 1.7.19 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/klever-io/klever-go CVE-2026-55764 » sur le site de l'éditeur.
CVE-2026-55764 (github.com/klever-io/klever-go) — CWE-190
Surface d'attaque : SFTAddCirculation / amount / int64 / nil
Correctif : 1.7.19 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-190) affecte github.com/klever-io/klever-go. Les attaquants atteignent le code vulnérable via SFTAddCirculation.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/klever-io/klever-go. Surface d'attaque : SFTAddCirculation / amount / int64 / nil.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.7.19.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/klever-io/klever-go' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/klever-io/klever-goを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/klever-io/klever-go to 1.7.19ステージング環境で 1.7.19 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com