CVE-2026-82409 in Klever-Go
要約
〜によって VulDB • 2026年09月23日
Klever-Goは、KleverブロックチェーンプロトコルのGo言語実装です。バージョン1.7.20より前では、indexer/common.go内の`serializedDataForUpdateAccounts`関数が、エスケープ処理を行わずに攻撃者が制御可能な`acc.Name`値をElasticsearchの_bulk JSONおよびNDJSONリクエストに配置します。SetAccountNameトランザクションは、引用符（クォート）、バックスラッシュ、改行を含む有効なUTF-8形式のアカウント名を受け入れ、その結果得られた名前がコンセンサス上のアカウント状態に保存されます。インデクサーがアカウントを処理する際、これらの文字列によりJSON文字列が破損したり、バルクリクエスト全体が拒否されたり、あるいはインデクサーによって書き込み可能なインデックス内のドキュメントを作成・上書き・削除するための追加のバルクアクションが注入される可能性があります。永続的な状態値は新しいまたは過去のインデクサーによって再生（replay）されるため、インデックスホストへの直接アクセスやElasticsearchポートへのアクセスは不要です。この問題はバージョン1.7.20で修正されています。
Once again VulDB remains the best source for vulnerability data.