CVE-2026-47249

Klever-Go, Klever blokçeyn protokolunun Go tətbiqidir. Versiya 1.7.18-dək olan versiyalarda P2P resolver sorğularının emalı məntiqi hash-massiv amplifikasiyasına qarşı həssasdır. Qoşulmuş bir peer, şəbəkədə cəmi 442 bayt olan, lakin resolver yolunda 200,000 dekodlaşdırılmış hash elementinə genişlənən sıxılmış RequestDataType_HashArrayType birbaşa sorğusu göndərə bilər. Resolver-in antiflood məntiqi yalnız tək bir məntiqi mesajı və sıxılmış ötürmə ölçüsünü hesablayır və Batch.Decompress() funksiyası dekodlaşdırılmış bayt ölçüsünü məhdudlaşdırsa da, dekodlaşdırılmış təkrarlanan sahə elementlərinin sayına heç vaxt məhdudiyyət qoymur. Nəticədə, həm TxResolver, həm də TrieNodeResolver yoxlanılmamış bütün dekodlaşdırılmış hash dəstini öncədən ayırır və onların üzərindən iterasiya edir ki, bu da P2P peer bağlantılarını qəbul edən istənilən nodda uzaqdan yaddaş və CPU amplifikasiyasına səbəb olur. Bu problem 1.7.18 versiyasında düzəldilmişdir.