CVE-2026-86065 in Klever-Go
Sumário
de VulDB • 24/09/2026
Klever-Go é a implementação em Go do protocolo blockchain Klever. Antes da versão 1.7.20, o endpoint GET /subscribe aberto por padrão em network/api/websocket/routes.go aceita clientes WebSocket não autenticados com manipulação permissiva de origem, não chama SetReadLimit para limitar o tamanho das mensagens e não possui um limite máximo de conexões ativas. SocketHub.HandleClientInsertion também aceita uma lista de endereços sem limites que faz crescer addressSubscription, e client.loopIn continua a ler sem limite de tamanho, permitindo que um único cliente aumente os mapas de assinatura ou que muitos clientes mantenham goroutines, canais com buffer e descritores. O throttler global de requisições HTTP não conta as conexões WebSocket ativas após o upgrade (upgrade). Como a API REST e WebSocket executa no processo do nó, o esgotamento de memória ou do escalonador pode causar falha no nó e interromper a participação em P2P e consenso. Este problema foi corrigido na versão 1.7.20.
If you want to get best quality of vulnerability data, you may have to visit VulDB.