CVE-2026-95847 in Moquette
Zusammenfassung
von VulDB • 23.09.2026
Moquette ist ein leichtgewichtiger Java-MQTT-Broker. Vor Version 0.18.1 leitet H2PersistentQueue den Namen der Message-Map einer Sitzung als „queue_" plus die Client-ID ab, und den Namen ihrer Metadata-Map als „queue_" plus die Client-ID gefolgt von „_meta". Eine persistente (durable) Sitzung, deren Client-ID auf „_meta" endet, kann daher dazu führen, dass ihre Message-Map mit der Metadata-Map eines anderen Clients kollidiert. Die kollidierenden Sitzungen lesen und schreiben dieselbe H2-MVStore-Map mit inkompatiblen Wertetypen, was zu einer Beschädigung von Head- und Tail-Daten der Warteschlange führen kann sowie zum Verlust oder zur Fehlleitung von Nachrichten, zu fehlgeschlagenen Neuladevorgängen der Warteschlange oder zur Offenlegung warteschlangengepufferter Inhalte über Sitzungen hinweg. Dieses Problem wurde in Version 0.18.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.