CVE-2026-85058 in Moquette
الملخص
بحسب VulDB • 19/09/2026
Moquette هو وسيط MQTT خفيف الوزن مبني على Java. قبل الإصدار 0.18.1، تقوم الدالة `PostOffice.publishWill` بنشر رسالة "الوصية الأخيرة" (Last Will) التي يتحكم فيها العميل عبر `publish2Subscribers` دون استدعاء فحص الصلاحية `authorizator.canWrite` المستخدم في مسارات النشر العادية (PUBLISH). عندما يكون الوصول المجهول ممكناً وتقيّد أذونات التحكم بالوصول إلى الموضوعات (ACLs) عمليات الكتابة، يمكن لعميل عن بُعد تعيين موضوع محمي بـ ACL كـ "موضوع الوصية الأخيرة" أثناء اتصال CONNECT وإجراء فصل غير طبيعي للعميل، مما يتسبب في حقن وسيط الرسائل برسائل خاضعة لتحكم المهاجمين ضمن موضوع لا يملك العميل إذن الكتابة له. تم إصلاح هذه المشكلة في الإصدار 0.18.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.