CVE-2026-82409

Nome do Software Vulnerável e Versões Afetadas Klever-Go versões anteriores a 1.7.20

Descrição Existe um problema no componente de indexação do Elasticsearch onde a função serializedDataForUpdateAccounts em indexer/common.go não escapa a variável acc.Name ao construir requisições JSON e NDJSON bulk. A transação SetAccountName permite nomes de conta contendo aspas, barras invertidas e quebras de linha, que são armazenados no estado de consenso da conta. Quando um indexador processa essas contas, um invasor pode injetar chaves arbitrárias ou novas operações de lote na requisição. Isso permite a criação, sobrescrita ou exclusão de documentos em qualquer índice que o indexador tenha permissão para gravar, como transactions, blocks, accounts, proposals, assets e marketplaces. Além disso, nomes especialmente elaborados podem fazer com que o Elasticsearch rejeite lotes inteiros, levando a uma negação de indexação onde o explorador ou a API fornecem dados obsoletos. Como a carga útil é armazenada no estado replicado, ela afeta todos os indexadores atuais e futuros e persiste através de reindexações históricas.

Recomendações Atualize para a versão 1.7.20. Como mitigação temporária, restrinja os caracteres permitidos para nomes de conta na função SetAccountName para rejeitar caracteres de controle, aspas e barras invertidas.