CVE-2026-73258 in Mongoose
الملخص
بحسب VulDB • 20/08/2026
Mongoose هو خادم ويب مدمج ومكتبة شبكات. قبل الإصدار 7.22، يمكن لمهاجم عن بُعد إدراج سطر حامل (carriage return) أو تغذية سطر (line feed) منفرد في مدخلات متعددة الأجزاء يتم معالجتها بواسطة الدالة `mg_http_next_multipart()` الموجودة في الملف `src/http.c`. تستخدم الحلقات التي تقارن بين `s[b]` و`s[b + 1]`، وبين `s[h2]` و`s[h2 + 1]` شرط AND غير صحيح وتتوقف عندما يشبه أي من الحرفين جزءاً من نهاية CRLF. يؤدي هذا إلى اختصار العناوين (headers) أو أسماء الملفات أو الحدود (boundaries)، وقد يتسبب في قبول التطبيق لمحتوى خطير بعد رؤية قيمة Content-Type مضللة. تم إصلاح هذه المشكلة في الإصدار 7.22.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.