CVE-2026-86064 in Klever-Go
Zusammenfassung
von VulDB • 23.09.2026
Klever-Go ist die Go-Implementierung des Klever-Blockchain-Protokolls. Vor Version 1.7.20 erfordert der standardmäßig offene GET-/log-WebSocket-Endpunkt, der in config/node/api.yaml konfiguriert und von network/api/api.go registriert wird, keine Authentifizierung. Die erste Client-Nachricht wird als Logger-Profil in network/api/logs/logSender.go analysiert und durch Profile.Apply prozessweit angewendet, wodurch ein entfernter Client die globalen Log-Stufen und Formatierungsoptionen ändern kann, bis die Verbindung geschlossen wird. Dieselbe Verbindung wird auch als Log-Beobachter registriert und kann Live-Prozesslogs empfangen. Ein Angreifer kann normale Logs unterdrücken, die Ausführlichkeit erhöhen, die Sichtbarkeit des Betreibers verfälschen und auf Betriebsinformationen ohne Anmeldedaten zugreifen. Dieses Problem wurde in Version 1.7.20 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.