CVE-2026-86065
Klever-Go: Unauthenticated WebSocket /subscribe: no read-size limit, no connection cap, permissive origin -> remote node memory/goroutine exhaustion (DoS)
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.7.20
Обновите узел Klever-Go до версии 1.7.20 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Исчерпание памяти и горутин узла Klever-Go через эндпоинт WebSocket /subscribe. Приводит к отказу в обслуживании (DoS).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинт GET /subscribe в network/api/websocket/routes.go не требует аутентификации, использует мягкую проверку Origin, не вызывает SetReadLimit и не лимитирует входящие сессии. SocketHub.HandleClientInsertion принимает неограниченные списки подписок, а глобальный троттлинг HTTP не учитывает открытые WebSocket-соединения.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Утечка дескрипторов, разрастание таблиц подписок и неконтролируемое выделение горутин и каналов, вызывающее OOM-падение ноды блокчейна (DoS).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
klever-ioklever-go
все ранние➔Fix: 1.7.20
——
>= 0➔Fix: 1.7.20
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/klever-io/klever-go/security/advisories/GHSA-4fwh-wrm6-97xm
- github.comhttps://github.com/klever-io/klever-go/pull/76
- github.comhttps://github.com/klever-io/klever-go/commit/b8af922e749ec1fa7451b2c6e7c9f634d8603be2
- github.comhttps://github.com/klever-io/klever-go/releases/tag/v1.7.20
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-86065: Klever-Go: Unauthenticated WebSocket /subscribe: no read-size limit, no connection cap, permissive origin -> remote node memory/goroutine exhaustion (DoS). URL: https://cve.futuretools.ru/cve/CVE-2026-86065
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_86065,
title = {{CVE-2026-86065: Klever-Go: Unauthenticated WebSocket /subscribe: no read-size limit, no connection cap, permissive origin -> remote node memory/goroutine exhaustion (DoS)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-86065}},
note = {Оперативный инженерный анализ киберугроз}
}