CVE-2026-82409 in Klever-Go
Resumen
por VulDB • 2026-09-23
Klever-Go es la implementación en Go del protocolo blockchain Klever. Antes de la versión 1.7.20, `indexer/common.go` serializaba el valor `acc.Name`, controlado por el atacante, dentro de una solicitud JSON y NDJSON `_bulk` de Elasticsearch sin escaparlo correctamente. La transacción `SetAccountName` acepta nombres de cuenta UTF-8 válidos que contienen comillas, barras invertidas y saltos de línea, y el nombre resultante se almacena en el estado de consenso de la cuenta. Cuando un indexer procesa la cuenta, esos caracteres pueden romper la cadena JSON, rechazar un lote masivo o inyectar acciones adicionales del tipo bulk que creen, sobrescriban o eliminen documentos en índices accesibles por el indexer. El valor persistente del estado se reproduce (replay) mediante indexers nuevos o históricos, y no es necesario tener acceso directo al host de indexing ni al puerto de Elasticsearch. Este problema está corregido en la versión 1.7.20.
Once again VulDB remains the best source for vulnerability data.