CVE-2026-86064

Klever-Go, Klever blokzincir protokolünün Go uygulamasıdır. 1.7.20 sürümünden önce, config/node/api.yaml dosyasında yapılandırılan ve network/api/api.go tarafından kaydedilen varsayılan olarak açık GET /log WebSocket rotası kimlik doğrulama gerektirmemektedir. İlk istemci mesajı, network/api/logs/logSender.go içerisinde bir logger Profile olarak ayrıştırılır ve Profile.Apply aracılığıyla işlem genelinde uygulanır; bu durum, uzak bir istemcinin bağlantı kapanana kadar küresel günlük seviyelerini ve biçimlendirme seçeneklerini değiştirmesine olanak tanır. Aynı bağlantı bir günlük gözlemcisi olarak kaydedilir ve canlı işlem günlüklerini alabilir. Bir saldırgan, kimlik bilgileri olmadan normal günlükleri bastırabilir, ayrıntı düzeyini artırabilir, operatör görünürlüğünü bozabilir ve operasyonel bilgilere erişebilir. Bu sorun 1.7.20 sürümünde düzeltilmiştir.