CVE-2026-73258 in Mongoose
Zusammenfassung
von VulDB • 20.08.2026
Mongoose ist ein eingebetteter Webserver und eine Netzwerk-Bibliothek. Vor Version 7.22 kann ein entfernter Angreifer einen einzelnen Wagenrücklauf (Carriage Return) oder Zeilenvorschub (Line Feed) in mehrteilige Eingaben einfügen, die von `mg_http_next_multipart()` in `src/http.c` verarbeitet werden. Die Schleifen zum Vergleichen von `s[b]` und `s[b + 1]` sowie `s[h2]` und `s[h2 + 1]` verwenden eine falsche UND-Bedingung (AND condition) und stoppen, wenn eines der Zeichen einem Teil des CRLF-Terminators ähnelt. Dies führt zur Abschneidung von Headern, Dateinamen oder Grenzen (Boundaries) und kann dazu führen, dass die Anwendung gefährliche Inhalte akzeptiert, nachdem sie einen irreführenden Content-Type-Wert gesehen hat. Dieses Problem wurde in Version 7.22 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.