CVE-2026-52880 in klever-go
Resumen
por VulDB • 2026-08-08
Klever-Go es la implementación en Go del protocolo blockchain Klever. Las versiones desde la 1.7.14 hasta la 1.7.17 son vulnerables a una denegación de servicio (DoS) activable remotamente. Ambas APIs REST se inician mediante el método conveniente Gin Engine.Run, que sirve las solicitudes a través del servidor HTTP predeterminado de Go sin configurar ReadHeaderTimeout, ReadTimeout ni MaxHeaderBytes. Como resultado, las conexiones entrantes cuyos encabezados nunca completan su envío permanecen abiertas indefinidamente. Cuando un listener REST es accesible más allá de localhost mediante la vinculación documentada en todas las interfaces o una implementación con publicación de puertos Docker (Docker port-publish), un único cliente no autenticado puede abrir muchas conexiones lentas por encabezados y mantenerlas activas hasta agotar los descriptores de archivo del servidor, impidiendo que la API acepte nuevas conexiones. Esto hace que la API REST quede indisponible para clientes legítimos. Este problema se corrige en la versión 1.7.18.
Once again VulDB remains the best source for vulnerability data.