CVE-2026-52879
Klever-Go: Unbounded goroutine spawn on direct-message ingress enables peer-driven DoS
Description
Klever-Go is the Go implementation of the Klever blockchain protocol. In versions 1.7.14 through 1.7.17, the direct-message ingress handler spawns a new goroutine for every incoming direct message before the processor-level antiflood layer makes any admission decision, with no semaphore, throttler, or bound on the number of concurrent in-flight spawns. Because the antiflood check runs inside the spawned goroutine rather than before it, a single connected peer can open a direct-send stream and send a stream of well-formed messages to force unbounded goroutine creation, where each goroutine allocates its own stack and holds a message reference until processing completes, adding scheduler and garbage-collection pressure faster than the runtime can drain it. This lets one peer degrade the node's availability and its ability to process legitimate traffic, resulting in a remotely triggerable denial of service. The issue is fixed in 1.7.18.
INFO
Published Date :
Aug. 7, 2026, 11:17 p.m.
Last Modified :
Oct. 24, 2026, 4:10 p.m.
Remotely Exploit :
Yes !
Source :
[email protected]
CVSS Scores
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | HIGH | [email protected] | ||||
| CVSS 3.1 | HIGH | MITRE-CVE |
Solution
- Update Klever-Go to version 1.7.18.
- Apply relevant security patches from vendor.
- Monitor system resources for anomalies.
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2026-52879.
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2026-52879 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2026-52879
weaknesses.
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2026-52879 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2026-52879 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 24, 2026
Action Type Old Value New Value Changed Translation Title: klever-go de klever-io, Description: Klever-Go es la implementación en Go del protocolo blockchain de Klever. En las versiones 1.7.14 a la 1.7.17, el gestor de entrada de mensajes directos crea una nueva goroutine para cada mensaje directo entrante antes de que la capa antiflood a nivel de procesador tome cualquier decisión de admisión, sin semáforo, limitador o límite en el número de creaciones concurrentes en curso. Debido a que la verificación antiflood se ejecuta dentro de la goroutine creada en lugar de antes de ella, un único par conectado puede abrir un flujo de envío directo y enviar un flujo de mensajes bien formados para forzar la creación ilimitada de goroutines, donde cada goroutine asigna su propia pila y mantiene una referencia al mensaje hasta que el procesamiento se completa, añadiendo presión al planificador y a la recolección de basura más rápido de lo que el tiempo de ejecución puede drenarla. Esto permite que un par degrade la disponibilidad del nodo y su capacidad para procesar tráfico legítimo, resultando en una denegación de servicio que puede ser activada remotamente. El problema está solucionado en la 1.7.18. Title: klever-go de klever-io, Description: Klever-Go es la implementación en Go del protocolo blockchain de Klever. En las versiones 1.7.14 a la 1.7.17, el gestor de entrada de mensajes directos crea una nueva goroutine para cada mensaje directo entrante antes de que la capa antiflood a nivel de procesador tome cualquier decisión de admisión, sin semáforo, limitador o límite en el número de creaciones concurrentes en curso. Debido a que la verificación antiflood se ejecuta dentro de la goroutine creada en lugar de antes de ella, un único par conectado puede abrir un flujo de envío directo y enviar un flujo de mensajes bien formados para forzar la creación ilimitada de goroutines, donde cada goroutine asigna su propia pila y mantiene una referencia al mensaje hasta que el procesamiento se completa, añadiendo presión al planificador y a la recolección de basura más rápido de lo que el tiempo de ejecución puede drenarla. Esto permite que un par degrade la disponibilidad del nodo y su capacidad para procesar tráfico legítimo, resultando en una denegación de servicio que puede ser activada remotamente. El problema está solucionado en la 1.7.18. -
CVE Translated by [email protected]
Oct. 23, 2026
Action Type Old Value New Value Added Translation Title: klever-go de klever-io, Description: Klever-Go es la implementación en Go del protocolo blockchain de Klever. En las versiones 1.7.14 a la 1.7.17, el gestor de entrada de mensajes directos crea una nueva goroutine para cada mensaje directo entrante antes de que la capa antiflood a nivel de procesador tome cualquier decisión de admisión, sin semáforo, limitador o límite en el número de creaciones concurrentes en curso. Debido a que la verificación antiflood se ejecuta dentro de la goroutine creada en lugar de antes de ella, un único par conectado puede abrir un flujo de envío directo y enviar un flujo de mensajes bien formados para forzar la creación ilimitada de goroutines, donde cada goroutine asigna su propia pila y mantiene una referencia al mensaje hasta que el procesamiento se completa, añadiendo presión al planificador y a la recolección de basura más rápido de lo que el tiempo de ejecución puede drenarla. Esto permite que un par degrade la disponibilidad del nodo y su capacidad para procesar tráfico legítimo, resultando en una denegación de servicio que puede ser activada remotamente. El problema está solucionado en la 1.7.18. -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 10, 2026
Action Type Old Value New Value Added Reference https://github.com/klever-io/klever-go/security/advisories/GHSA-hf2g-6j7h-98wg Added SSVC {'id': 'CVE-2026-52879', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'poc'}, {'automatable': 'yes'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-08-10T13:35:42.857307Z'} -
New CVE Received by [email protected]
Aug. 07, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'klever-io', 'product': 'klever-go', 'versions': [{'status': 'affected', 'version': '>= 1.7.14, < 1.7.18'}]}] Added Description Klever-Go is the Go implementation of the Klever blockchain protocol. In versions 1.7.14 through 1.7.17, the direct-message ingress handler spawns a new goroutine for every incoming direct message before the processor-level antiflood layer makes any admission decision, with no semaphore, throttler, or bound on the number of concurrent in-flight spawns. Because the antiflood check runs inside the spawned goroutine rather than before it, a single connected peer can open a direct-send stream and send a stream of well-formed messages to force unbounded goroutine creation, where each goroutine allocates its own stack and holds a message reference until processing completes, adding scheduler and garbage-collection pressure faster than the runtime can drain it. This lets one peer degrade the node's availability and its ability to process legitimate traffic, resulting in a remotely triggerable denial of service. The issue is fixed in 1.7.18. Added CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Added CWE CWE-400 Added CWE CWE-770 Added Reference https://github.com/klever-io/klever-go/releases/tag/v1.7.18 Added Reference https://github.com/klever-io/klever-go/security/advisories/GHSA-hf2g-6j7h-98wg