PT-2026-40590 · Go+1 · Github.Com/Klever-Io/Klever-Go+1

Fbsobreira · Publicado 2026-05-13 · Atualizado 2026-06-02 · CVE-2026-44697

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Klever-Go versões anteriores a 1.7.17

Descrição Um problema de negação de serviço remoto e não autenticado existe na função Batch.Decompress em data/batch/batch.go. Isso permite que qualquer peer participante em um tópico atendido pelo MultiDataInterceptor provoque alocações de heap de vários gigabytes em um nó receptor usando um payload de gossip menor que 50 KiB. O problema decorre de uma operação io.ReadAll sem limites na função decompressGzip e da falta de validação da variável ba.DataSize durante a descompressão. Um único pacote malicioso pode fazer com que um validador trave devido a condições de falta de memória (OOM), e um ataque em toda a frota pode comprometer a vitalidade da rede.

Recomendações Atualize para a versão 1.7.17.

Exploit

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

CWE-409

Identificadores relacionados

CVE-2026-44697

GHSA-87M7-QFFR-542V

Produtos afetados

Github.Com/Klever-Io/Klever-Go

Klever-Go

Referências · 8

• 🔥 https://github.com/klever-io/klever-go/security/advisories/GHSA-87m7-qffr-542v · Exploit
• https://github.com/klever-io/klever-go · Nota
• https://t.me/CVEtracker/55271 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-87m7-qffr-542v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44697 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2060840259227714015 · Publicação no Twitter
• https://t.me/cveNotify/165582 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2060839333364433103 · Publicação no Twitter