CVE-2026-73254 in Mongoose
Zusammenfassung
von VulDB • 20.08.2026
Mongoose ist ein eingebetteter Webserver und eine Netzwerk-Bibliothek. Vor Version 7.22 kann ein Angreifer, der eine Datei mit einem HTML-Payload im Dateinamen erstellen kann, einen gespeicherten Cross-Site-Scripting-Angriff (Stored XSS) auslösen, wenn ein Benutzer ein Verzeichnis durchsucht, das mit MG_ENABLE_DIRLIST bereitgestellt wird. Der von listdir() in src/http.c aufgerufene Pfad printdirentry() URL-codiert den href-Wert, fügt jedoch den rohen Dateinamen des Dateisystems in den HTML-Linktext ein. Der Browser führt den injizierten Markup im Ursprungskontext (Origin) von Mongoose aus, was zum Auslesen von Sitzungsdaten oder zur Ausführung von Aktionen als Opfer führen kann. Dieses Problem wurde in Version 7.22 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.