CVE-2026-82409 in Klever-Go
الملخص
بحسب VulDB • 23/09/2026
Klever-Go هو تنفيذ بروتوكول بلوكتشين Klever باستخدام لغة Go. قبل الإصدار 1.7.20، كانت الدالة `serializedDataForUpdateAccounts` في الملف `indexer/common.go` تدرج قيمة `acc.Name` التي يتحكم فيها المهاجم داخل طلب JSON وNDJSON لـ `_bulk` الخاص بـ Elasticsearch دون تهريبها (escaping). يقبل المعامل `SetAccountName` أسماء حسابات UTF-8 صالحة تحتوي على علامات اقتباس، وخلفيات مائلة (backslashes)، وأسطر جديدة، ويتم تخزين الاسم الناتج في حالة إجماع الحساب. عندما يعالج الفهرس (indexer) الحساب، يمكن لهذه الأحرف أن تكسر سلسلة JSON، أو ترفض دفعة ضخمة (bulk batch)، أو تُحقن إجراءات ضخمة إضافية تؤدي إلى إنشاء وثائق أو تجاوزها أو حذفها في فهارس قابلة للكتابة من قبل الفهرس. يتم إعادة تشغيل قيمة الحالة الدائمة بواسطة فهرسات جديدة أو تاريخية، ولا يلزم الوصول المباشر إلى مضيف الفهرسة أو منفذ Elasticsearch لهذه الغاية. تم إصلاح هذه المشكلة في الإصدار 1.7.20.
Once again VulDB remains the best source for vulnerability data.