CVE-2026-86065
Təsvir
Klever-Go, Klever blokçeyn protokolunun Go tətbiqidir. Versiya 1.7.20-dək, network/api/websocket/routes.go faylında standart olaraq açıq olan GET /subscribe son nöqtəsi (endpoint), sərbəst mənşə idarəetməsi ilə autentifikasiya olunmamış WebSocket kliyentlərini qəbul edir, mesaj ölçüsünü məhdudlaşdırmaq üçün SetReadLimit funksiyasını çağırmır və canlı bağlantı limiti yoxdur. SocketHub.HandleClientInsertion həmçinin addressSubscription siyahısını böyüdən məhdudiyyətsiz ünvan siyahısını qəbul edir və client.loopIn ölçü limiti olmadan oxumağa davam edir ki, bu da bir kliyentin abunəlik xəritələrini genişləndirməsinə və ya çox sayda kliyentin goroutine-ləri, buferli kanalları və deskriptorları saxlamasına şərait yaradır. Qlobal HTTP sorğu tənzimləyicisi təkmilləşdirilmiş canlı WebSocket bağlantılarını hesablamır. REST və WebSocket API düyün prosesində işlədiyi üçün, yaddaşın və ya planlayıcının (scheduler) tükənməsi düyünün çökməsinə səbəb ola bilər və P2P və konsensus iştirakını dayandıra bilər. Bu problem 1.7.20 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/klever-io/klever-go1.7.20 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/klever-io/klever-goGo | v < 1.7.20 | 1.7.20 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.