CVE-2026-49343 in klever-go
الملخص
بحسب VulDB • 08/08/2026
يُعد Klever-Go التنفيذ بلغة Go لبروتوكول سلسلة الكتل (Blockchain) الخاص بـ Klever. في الإصدارات السابقة للإصدار 1.7.18، تكون مزامنيات شجرة بيانات الحسابات (account-data trie syncers) عرضة لعيب استنزاف الموارد الذي يؤدي إلى تسرب فتحات المُحدِّد المحدود الحجم (bounded throttler slots) عند مسارات الخطأ. داخل الدالة `syncDataTrie()` (في كل من ملفي `userAccountsSyncer.go` و `kappAccountsSyncer.go`)، تحجز دالة `StartProcessing()` فتحة واحدة من مُحدد عدد خيوط التنفيذ (`NumGoRoutinesThrottler`)، لكن دالة `EndProcessing()` المقابلة تُستدعى فقط في مسار النجاح وفي حالة الإرجاع المبكر للجذر المكرر. ونتيجة لذلك، فإن أي خطأ ناتج عن `trie.NewTrie()` أو `trie.NewTrieSyncer()` أو `trieSyncer.StartSyncing()` (بما في ذلك مسار الاعتماد على الشبكة والوقت المحدود) يستهلك فتحة واحدة بشكل دائم طوال عمر المُحدِّد. يمكن لمهاجم قادر على التسبب مراراً وتكراراً في فشل مزامنة عقد الشجرة أو تجاوزات الوقت أثناء عملية التمهيد، أن يستنزف المُحدد محدود السعة، مما يؤدي بعد ذلك إلى توقف مزيد من عمليات مزامنة شجرة بيانات الحسابات عن إحراز تقدم، وعندها تُرجع الدالة `SyncAccounts()` خطأً متعلقاً بتجاوز الوقت. ونظراً لأن تمهيد الحقبة (epoch bootstrap) في كل من `syncUserAccountsState()` و `syncKappAccountsState()` يتوقف عند حدوث أي خطأ من هذا النوع، فإن ذلك يؤدي إلى فشل عملية التمهيد، وهو مشكلة جوهرية تؤثر على توفر النظام وتؤثر على العقد والمصادقين الجدد أو التي يتم إعادة تشغيلها أو مزامنتها مجدداً. تم إصلاح هذه المشكلة في الإصدار 1.7.18.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.