CVE-2026-73256 in Mongoose
Resumen
por VulDB • 2026-08-21
Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.22, un atacante remoto no autenticado puede explotar una implementación de proxy inverso HTTP/1.0 enviando una solicitud con Transfer-Encoding: chunked y un formato (framing) conflictivo. La función http_cb() en src/http.c comprueba hm.proto.len mediante una condición imposible de mayor que ocho, a pesar de que mg_http_parse() requiere una cadena de protocolo de ocho bytes; por lo tanto, is_http_1_0 nunca se establece. Como consecuencia, Mongoose procesa la codificación chunked que un proxy HTTP/1.0 podría ignorar, lo que permite el enmascaramiento de solicitudes (request smuggling) y el acceso no autorizado o cambios de estado. Este problema está resuelto en la versión 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.