CVE-2026-86065

Nome do Software Vulnerável e Versões Afetadas Klever-Go versões anteriores a 1.7.20

Description O endpoint 'GET /subscribe' aceita clientes WebSocket não autenticados com manipulação de origem permissiva e carece de um limite de conexões ativas ou de uma chamada ao SetReadLimit para limitar o tamanho da mensagem. Além disso, a função SocketHub.HandleClientInsertion() aceita uma lista de endereços ilimitada que aumenta o tamanho de addressSubscription, enquanto client.loopIn() continua a leitura sem limite de tamanho. Isso permite que um único cliente expanda mapas de assinatura ou que múltiplos clientes consumam goroutines, canais bufferizados e descritores. Como o limitador global de requisições HTTP não contabiliza conexões WebSocket ativas atualizadas e a API é executada no processo do nó, a exaustão de memória ou do escalonador pode travar o nó, interrompendo a participação em P2P e no consenso.

Recommendations Atualizar para a versão 1.7.20.