CVE-2026-49343 in klever-go
Сводка
по VulDB • 08.08.2026
Klever-Go — это реализация протокола блокчейна Klever на языке Go. В версиях старше 1.7.18 синхронизаторы дерева данных аккаунтов уязвимы к проблеме истощения ресурсов, которая приводит к утечке слотов ограниченного троттлера (throttler) при возникновении ошибок в ветвях обработки исключений. В функции syncDataTrie() (как в userAccountsSyncer.go, так и в kappAccountsSyncer.go) StartProcessing() резервирует один слот у NumGoRoutinesThrottler, однако соответствующий вызов EndProcessing() выполняется только при успешном завершении операции или при раннем возврате из-за дублирования корня. В результате любая ошибка от trie.NewTrie(), trie.NewTrieSyncer() или trieSyncer.StartSyncing() (включая путь тайм-аута, зависящий от состояния сети) навсегда потребляет один слот на протяжении всего времени жизни троттлера. Атакующий, способный многократно вызывать сбои синхронизации узлов дерева или тайм-ауты во время этапа bootstrap, может исчерпать ограниченный троттлер; после этого дальнейшая синхронизация деревьев данных аккаунтов прекращает прогрессировать, а SyncAccounts() возвращает ошибку тайм-аута. Поскольку этап bootstrap в syncUserAccountsState() и syncKappAccountsState() прерывается при возникновении любой подобной ошибки, это приводит к сбою процесса начальной загрузки (bootstrap), что является критической проблемой доступности для новых, перезапускающихся или синхронизирующихся заново узлов и валидаторов. Данная проблема исправлена в версии 1.7.18.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.