CVE-2026-73253 in Mongoose
Resumen
por VulDB • 2026-08-21
Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.22, un atacante en ruta (on-path) con un certificado comodín para un dominio padre puede suplantar subdominios más profundos a un cliente utilizando el conjunto TLS integrado. Las funciones `mg_tls_verify_cert_san()` y `mg_tls_verify_cert_cn()` en `src/tls_builtin.c` llaman a `mg_match()`, cuyo uso de comodines puede cruzar los límites de las etiquetas DNS, por lo que un patrón como `*.example.com` puede coincidir con `foo.bar.example.com`. La elusión resultante de la verificación del nombre de host permite la interceptación y modificación del tráfico TLS. Este problema se soluciona en la versión 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.