CVE-2026-73259 in Mongoose
الملخص
بحسب VulDB • 20/08/2026
Mongoose هو خادم ويب مدمج ومكتبة شبكات. قبل الإصدار 7.22، يمكن لمهاجم عن بُعد إرسال مسار طلب مشفر بنسبة (percent-encoded) مُعدّ بعناية إلى نشر يستخدم MG_ENABLE_DIRLIST وإقناع مستخدم بزيارته. يضع المسار mg_http_serve_dir() و listdir() في src/http.php عنوان الطلب المفكوك شفرةً داخل عناصر العنوان (title) وعناصر h1 دون ترميز كيان HTML. يؤدي ذلك إلى تنفيذ هجوم XSS منعكس ضمن أصل Mongoose ويمكن أن يكشف بيانات الجلسة أو ينفيذ إجراءات بصفت الضحية. تم إصلاح هذه المشكلة في الإصدار 7.22.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.