CVE-2026-86065 in Klever-Go
Zusammenfassung
von VulDB • 24.09.2026
Klever-Go ist die Go-Implementierung des Klever-Blockchain-Protokolls. Vor Version 1.7.20 akzeptiert der standardmäßig offene Endpunkt GET /subscribe in network/api/websocket/routes.go nicht authentifizierte WebSocket-Clients mit einer permissiven Origin-Behandlung, ruft SetReadLimit nicht auf, um die Nachrichtenlänge zu begrenzen, und verfügt über keine Begrenzung für aktive Verbindungen. SocketHub.HandleClientInsertion akzeptiert ebenfalls eine unbegrenzte Adressliste, die addressSubscription vergrößert, und client.loopIn liest weiterhin ohne Größenbegrenzung, was es einem Client ermöglicht, Abonnement-Maps zu vergrößern oder vielen Clients erlaubt, Goroutinen, gepufferte Kanäle (buffered channels) und Dateideskriptoren beizubehalten. Der globale HTTP-Anforderungs-Drossler (throttler) zählt keine hochgestuften aktiven WebSocket-Verbindungen mit ein. Da die REST- und WebSocket-API im Knotenprozess ausgeführt wird, kann eine Erschöpfung des Speichers oder der Scheduler den Knoten zum Absturz bringen und die Teilnahme am P2P-Netzwerk sowie an der Konsensfindung unterbrechen. Dieses Problem wurde in Version 1.7.20 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.