Vulnérabilité dans github.com/klever-io/klever-go (CVE-2026-49343)
Résumé
Vulnérabilité dans github.com/klever-io/klever-go (CVE-2026-49343). Risque d'opérations non autorisées ou de divulgation. Exploitable via NumGoRoutinesThrottler. Atténuation : mise à jour vers 1.7.18 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The account-data trie syncers leak bounded throttler slots on error paths in syncDataTrie(). Each failed trie sync permanently consumes one slot from
the NumGoRoutinesThrottler, and the slot is never returned unless the sync succeeds or the root hash was already present.
I confirmed this on the current default branch develop at commit 9640d63 (observed on May 20, 2026). I also confirmed the bug with a runtime PoC
using the real timeout path in trieSyncer.StartSyncing(): two timed-out sync attempts are enough to exhaust a throttler with capacity 2.
This affects the epoch bootstrap path because syncUserAccountsState() and syncKappAccountsState() create bounded throttlers and abort bootstrap
immediately if the syncer returns an error. Once enough trie-root sync attempts fail, the syncer cannot make forward progress and bootstrap fails.
Affected Components
data/syncer/userAccountsSyncer.godata/syncer/kappAccountsSyncer.godata/trie/sync.gocore/throttler/numGoRoutinesThrottler.gocore/bootstrap/process.go
Affected Version
Verified on:
developHEAD9640d63
Please check whether the same code is present in supported 1.7.x releases.
Suggested Severity
High
Vulnerability Details
Root Cause
Both account-data syncers call StartProcessing() before creating / starting the trie syncer, but they only call EndProcessing() on the success path
and on the duplicat…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-49343 a été découverte dans github.com/klever-io/klever-go.
Des attaquants peuvent cibler un point d'entrée spécifique comme NumGoRoutinesThrottler à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.9/10.
Action : mettez à jour github.com/klever-io/klever-go vers 1.7.18 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/klever-io/klever-go CVE-2026-49343 » sur le site de l'éditeur.
CVE-2026-49343 (github.com/klever-io/klever-go) — CWE-400 / CVSS v3 5.9
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : NumGoRoutinesThrottler / develop
Correctif : 1.7.18 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-400) affecte github.com/klever-io/klever-go. Les attaquants atteignent le code vulnérable via NumGoRoutinesThrottler sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/klever-io/klever-go. Surface d'attaque : NumGoRoutinesThrottler / develop.
Gravité : Moyenne (CVSS 5.9/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.7.18.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/klever-io/klever-go' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/klever-io/klever-goを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/klever-io/klever-go to 1.7.18ステージング環境で 1.7.18 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web security-advisories@github.com
- web github.com