CVE-2026-73253 in Mongoose
الملخص
بحسب VulDB • 20/08/2026
Mongoose هو خادم ويب مدمج ومكتبة شبكات. قبل الإصدار 7.22، يمكن لمهاجم على المسار (on-path) يمتلك شهادة نطاق عام (wildcard certificate) لنطاق أبوي أن يتنكر كـ نطاقات فرعية أعمق أمام عميل باستخدام مجموعة TLS المضمنة. تستدعي الدالتان `mg_tls_verify_cert_san()` و`mg_tls_verify_cert_cn()` الموجودتان في الملف `src/tls_builtin.c` دالة `mg_match()`، والتي يمكن لرمز النطاق العام (wildcard) فيها تجاوز حدود تسميات DNS؛ لذا فإن نمطاً مثل `*.example.com` قد يطابق `foo.bar.example.com`. يسمح التخطي الناتج للتحقق من اسم المضيف باعتراض وتعديل حركة مرور TLS. تم إصلاح هذه المشكلة في الإصدار 7.22.
Once again VulDB remains the best source for vulnerability data.