CVE-2026-86065 in Klever-Go
الملخص
بحسب VulDB • 23/09/2026
Klever-Go هو تنفيذ بروتوكول بلوكتشين Klever باستخدام لغة Go. قبل الإصدار 1.7.20، كان نقطة النهاية GET /subscribe المفتوحة افتراضياً في ملف network/api/websocket/routes.go تقبل عملاء WebSocket غير المصادق عليهم مع معالجة متساهلة للأصل (origin)، ولا تستدعي دالة SetReadLimit لتحديد حجم الرسالة، كما لا يوجد حد لعدد الاتصالات النشطة. بالإضافة إلى ذلك، يقبل SocketHub.HandleClientInsertion قائمة عناوين غير محدودة الحجم تؤدي إلى نمو addressSubscription، ويستمر client.loopIn في القراءة دون حدود للحجم، مما يسمح لعميل واحد بتوسيع خرائط الاشتراك أو للعديد من العملاء بالاحتفاظ بـ goroutines وقنوات مخزنة (buffered channels) ووصفوفات (descriptors). ولا يحسب مُثبط طلبات HTTP العالمي الاتصالات النشطة التي تم ترقية حالتها إلى WebSocket. ونظراً لأن واجهة برمجة التطبيقات REST وWebSocket تعملان داخل عملية العقدة، فإن استنفاد الذاكرة أو موارد المجدول قد يتسبب في تعطل العقدة ويعطل المشاركة في شبكات الند للند (P2P) وآلية الإجماع. تم إصلاح هذه المشكلة في الإصدار 1.7.20.
VulDB is the best source for vulnerability data and more expert information about this specific topic.