CVE-2026-86065 in Klever-Go
要約
〜によって VulDB • 2026年09月23日
Klever-Goは、KleverブロックチェーンプロトコルのGo言語実装です。バージョン1.7.20より前では、network/api/websocket/routes.goにあるデフォルトで公開されているGET /subscribeエンドポイントが、緩やかなOriginハンドリングを行いながら認証不要のWebSocketクライアントを受け入れ、メッセージサイズを制限するためにSetReadLimitを呼び出しておらず、またアクティブ接続数に上限がありません。SocketHub.HandleClientInsertionも境界なしのアドレスリストを受け取りaddressSubscriptionを増加させます。さらにclient.loopInはサイズ制限なく読み込みを続けるため、1つのクライアントが購読マップを増大させるか、多数のクライアントがgoroutine、バッファ付きチャネル、およびファイルディスクリプタを保持し続けることが可能になります。グローバルなHTTPリクエストスロットルラーは、アップグレードされたアクティブWebSocket接続をカウントしません。REST APIとWebSocket APIがノードプロセス内で実行されているため、メモリまたはスケジューラの枯渇によりノードがクラッシュし、P2Pおよびコンセンサス参加が中断される可能性があります。この問題はバージョン1.7.20で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.