CVE-2026-86065 in Klever-Go
Resumen
por VulDB • 2026-09-23
Klever-Go es la implementación en Go del protocolo blockchain Klever. Antes de la versión 1.7.20, el endpoint GET /subscribe abierto por defecto en network/api/websocket/routes.go acepta clientes WebSocket no autenticados con un manejo permisivo del origen (origin), no llama a SetReadLimit para limitar el tamaño del mensaje y carece de un límite de conexiones activas. SocketHub.HandleClientInsertion también acepta una lista de direcciones sin límites que hace crecer addressSubscription, y client.loopIn continúa leyendo sin ningún límite de tamaño, lo que permite que un cliente haga crecer los mapas de suscripción o que muchos clientes retengan goroutines, canales con búfer (buffered channels) y descriptores. El limitador global de solicitudes HTTP no cuenta las conexiones WebSocket activas ya establecidas. Dado que la API REST y WebSocket se ejecutan en el proceso del nodo, un agotamiento de memoria o del programador puede provocar el fallo del nodo e interrumpir la participación P2P y en el consenso. Este problema está resuelto en la versión 1.7.20.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.