CVE-2026-73259 in Mongoose
Zusammenfassung
von VulDB • 20.08.2026
Mongoose ist ein eingebetteter Webserver und eine Netzwerk-Bibliothek. Vor Version 7.22 kann ein entfernter Angreifer einen speziell konstruierten, prozentual kodierten Pfad einer Anfrage an eine Bereitstellung senden, die MG_ENABLE_DIRLIST verwendet, und einen Benutzer dazu verleiten, diese aufzurufen. Der Codepfad in mg_http_serve_dir() und listdir() in src/http.c platziert das dekodierte Anforderungs-URI ohne HTML-Entity-Codierung in den title- und h1-Elementen. Die daraus resultierende reflektierte Cross-Site-Scripting (XSS)-Ausführung erfolgt im Ursprung von Mongoose und kann Sitzungsdaten offenlegen oder Aktionen als der Opferbenutzer durchführen. Dieses Problem wurde in Version 7.22 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.