CVE-2026-49343 in klever-go
Sumário
de VulDB • 08/08/2026
O Klever-Go é a implementação em Go do protocolo blockchain Klever. Nas versões anteriores à 1.7.18, os sincronizadores de tries (trie syncers) dos dados da conta são vulneráveis a uma falha de exaustão de recursos que vaza slots limitados do throttler nas ramificações de tratamento de erros. Em `syncDataTrie()` (presente em ambos os ficheiros `userAccountsSyncer.go` e `kappAccountsSyncer.go`), `StartProcessing()` reserva um slot junto ao `NumGoRoutinesThrottler`, mas o correspondente `EndProcessing()` é chamado apenas na ramificação de sucesso e no retorno antecipado por raiz duplicada. Como resultado, qualquer erro proveniente de `trie.NewTrie()`, `trie.NewTrieSyncer()` ou `trieSyncer.StartSyncing()` (incluindo a ramificação dependente da rede com timeout) consome permanentemente um slot durante toda a duração do throttler. Um atacante que possa provocar repetidamente falhas na sincronização de nós trie ou timeouts durante o bootstrap pode esgotar o throttler limitado, após o qual as novas sincronizações dos tries de dados das contas deixam de progredir e `SyncAccounts()` retorna um timeout. Uma vez que o bootstrap da epoch em `syncUserAccountsState()` e `syncKappAccountsState()` aborta perante qualquer erro deste tipo, isto provoca a falha do bootstrap, constituindo uma questão crítica de disponibilidade que afeta nós e validadores novos, em reinício ou em resincronização. Este problema foi corrigido na versão 1.7.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.