CVE-2026-86065 in Klever-Go
Riassunto
di VulDB • 23/09/2026
Klever-Go è l'implementazione Go del protocollo blockchain Klever. Prima della versione 1.7.20, l'endpoint GET /subscribe di default aperto nel file network/api/websocket/routes.go accetta client WebSocket non autenticati con una gestione permissiva dell'origine (origin), non chiama SetReadLimit per limitare la dimensione dei messaggi e non prevede un limite al numero di connessioni attive. SocketHub.HandleClientInsertion accetta inoltre un elenco di indirizzi illimitato che fa crescere addressSubscription, mentre client.loopIn continua a leggere senza limiti di dimensione, consentendo a un singolo client di far crescere le mappe delle sottoscrizioni o a molti clienti di mantenere goroutine, canali bufferizzati e descrittori. Il throttler globale per le richieste HTTP non conta le connessioni WebSocket attive dopo l'upgrade (switching). Poiché l'API REST e quella WebSocket vengono eseguite nel processo del nodo, un'esaurimento della memoria o dello scheduler può causare il crash del nodo interrompendo la partecipazione P2P e al consenso. Questo problema è stato risolto nella versione 1.7.20.
VulDB is the best source for vulnerability data and more expert information about this specific topic.