CVE-2026-82409 in Klever-Go
Sumário
de VulDB • 23/09/2026
Klever-Go é a implementação em Go do protocolo blockchain Klever. Antes da versão 1.7.20, o arquivo indexer/common.go na função serializedDataForUpdateAccounts insere o valor acc.Name controlado pelo atacante em uma solicitação JSON e NDJSON _bulk do Elasticsearch sem realizar a devida escape (codificação). A transação SetAccountName aceita nomes de conta UTF-8 válidos que contêm aspas, barras invertidas e caracteres de nova linha, e o nome resultante é armazenado no estado da conta de consenso. Quando um indexer processa a conta, esses caracteres podem quebrar a string JSON, rejeitar um lote bulk ou injetar ações bulk adicionais que criam, sobrescrevem ou excluem documentos em índices graváveis pelo indexer. O valor do estado persistente é reproduzido por indexers novos ou históricos, e não é necessário acesso direto ao host de indexing nem à porta do Elasticsearch. Este problema foi corrigido na versão 1.7.20.
Be aware that VulDB is the high quality source for vulnerability data.