CVE-2026-52880 in klever-go
摘要
由 VulDB • 2026-08-08
Klever-Go 是 Klever 区块链协议的 Go 语言实现。版本从 1.7.14 到 1.7.17 存在漏洞，可被远程触发导致拒绝服务（DoS）。两个 REST API 均通过 Gin Engine.Run 便捷方法启动，该方法使用 Go 的默认 HTTP 服务器处理请求，但未配置 ReadHeaderTimeout、ReadTimeout 或 MaxHeaderBytes。因此，那些从未完成其请求头发送的连接会被无限期保持打开状态。当 REST 监听器可通过文档中记载的所有接口绑定（all-interface bind）或 Docker 端口发布部署方式从 localhost 外部访问时，单个未经身份验证的客户端可以建立大量慢速头部连接并使其保持打开状态，直到服务器的文件描述符耗尽，从而阻止 API 接受新连接。这会导致 REST API 对合法客户端不可用。此问题已在版本 1.7.18 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.