CVE-2026-52879

إصدارات klever-go الأقدم من 1.7.18

توجد مشكلة في الدالة directMessageHandler الموجودة في الملف network/p2p/libp2p/netMessenger.go. يقوم البرنامج بإنشاء goroutine جديدة لكل رسالة مباشرة واردة قبل أن تتمكن طبقة الحماية من الفيضانات (antiflood) من اتخاذ قرار القبول. ونظرًا لعدم وجود إشارة (semaphore) أو أداة تقييد (throttler) أو حد أقصى لعدد عمليات الإنشاء المتزامنة الجارية، يمكن لنظير متصل واحد إرسال حجم كبير من مغلفات TopicMessage صحيحة التكوين ذات أرقام تسلسلية متفاوتة لتجاوز عملية إزالة التكرار. يؤدي هذا إلى نمو غير محدود لعدد goroutines، مما يزيد من تخصيص الذاكرة للمكدسات ويضع ضغطًا على المجدول ومجمع القمامة، وهو ما قد يقلل من توفر العقدة ويؤدي إلى هجوم رفض الخدمة (DoS).

قم بتنفيذ أداة تقييد، مثل goRoutinesThrottler.CanProcess()، قبل إنشاء الجوروتين في دالة directMessageHandler.

أو بدلاً من ذلك، قم بإزالة إنشاء الجوروتين واستدعِ دالة ProcessReceivedMessage() بشكل متزامن لتتوافق مع مسار استدعاء الرد في نمط النشر والاشتراك (pubsub).