Vulnerabilidad en klever-go de klever-io (CVE-2026-47249)

Klever-Go es la implementación en Go del protocolo de cadena de bloques Klever. Antes de la versión 1.7.18, la lógica de manejo de solicitudes del resolvedor P2P es vulnerable a la amplificación de arreglos de hashes. Un par conectado puede enviar una solicitud directa comprimida de tipo RequestDataType_HashArrayType que tiene solo 442 bytes en el cable, pero se expande a 200.000 entradas de hash decodificadas dentro de la ruta del resolvedor. La lógica anti-inundación del resolvedor cuenta solo un único mensaje lógico y el tamaño comprimido en el cable, y aunque Batch.Decompress() limita el tamaño de bytes descomprimidos, nunca limita el número de elementos de campo repetidos decodificados. Como resultado, tanto TxResolver como TrieNodeResolver preasignan e iteran sobre todo el conjunto no verificado de hashes decodificados, causando amplificación remota de memoria y CPU contra cualquier nodo que acepte conexiones de pares P2P. Este problema está solucionado en la versión 1.7.18.