CVE-2026-73254 in Mongoose
Resumen
por VulDB • 2026-08-20
Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.22, un atacante que pueda crear un archivo con una carga útil HTML en su nombre puede provocar cross-site scripting (XSS) almacenado cuando un usuario navega por un directorio servido con MG_ENABLE_DIRLIST. La función printdirentry(), llamada por listdir() en src/http.c, codifica la URL del href pero inserta el nombre de archivo crudo del sistema de archivos en el texto del enlace HTML. El navegador ejecuta el marcado inyectado dentro del origen de Mongoose, lo que puede exponer datos de sesión o permitir realizar acciones como si fuera la víctima. Este problema se soluciona en la versión 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.